A Electrum lançou a versão 4.8.3, que corrige uma vulnerabilidade que permitia a servidores maliciosos induzir os utilizadores a assinar transações de bitcoin que enviavam os seus fundos para endereços controlados pelo atacante. A correção, publicada a 24 de outubro de 2026, resolve um problema presente em todas as versões anteriores da carteira.
A falha centrava-se na forma como a Electrum gere o aumento de taxas através do Replace-By-Fee (RBF). Um servidor malicioso podia ocultar o pagamento original do utilizador e substituí-lo por uma transação conflituante apontando para um endereço sob controlo do atacante. Se o utilizador tentasse depois aumentar a taxa do que acreditava ser o seu pagamento original, a carteira acabava por assinar a transação alterada, enviando os fundos para o atacante.
Os programadores afirmaram ter recebido dois relatos de utilizadores afetados pelo ataque, um dos quais perdeu dinheiro depois de aumentar uma taxa de transação. Em ambos os casos, o endereço do atacante coincidia com os últimos quatro caracteres do endereço que o utilizador pretendia pagar, um pormenor que tornaria a substituição mais difícil de detetar numa verificação casual.
A versão 4.8.3 fecha esta brecha ao verificar as assinaturas antes de aceitar uma transação não confirmada no histórico local, para entradas que gastam moedas pertencentes à carteira. "Esta versão corrige um problema de segurança crítico, pelo que encorajamos todos os utilizadores a atualizar", afirmou a Electrum.
A Electrum assinalou que os clientes ligados a servidores de confiança, incluindo servidores auto-hospedados, não são afetados por este ataque. Para os utilizadores que ainda não atualizaram, os programadores recomendam verificar manualmente os endereços de destino e os montantes antes de assinar qualquer transação, incluindo aumentos de taxa, e descarregar o software apenas a partir de electrum.org, verificando as assinaturas GPG.
Bull Bitcoin diz que utilizadores por defeito não são afetados
A Bull Bitcoin, cuja carteira BULL é construída sobre o código-base da Electrum, afirmou que a sua configuração por defeito protege a maioria dos utilizadores deste ataque. A carteira liga-se por defeito apenas a dois servidores geridos pela Bull Bitcoin e um gerido pela Blockstream, o que significa que os utilizadores não estariam expostos a menos que tivessem escolhido manualmente um servidor comprometido, adicionando o seu endereço por conta própria.
O CEO da Bull Bitcoin, Francis Pouliot, afirmou que a empresa está, ainda assim, a avançar para adotar a mesma proteção que a Electrum implementou agora. "De qualquer forma, estamos a adicionar imediatamente validação do lado do cliente com a mesma abordagem da carteira Electrum", afirmou.
O episódio serve de lembrete para os detentores europeus de bitcoin que recorrem à Electrum ou a carteiras baseadas na Electrum de que a confiança no servidor continua a ser uma parte relevante do modelo de segurança, em particular para utilizadores que se ligam a servidores de terceiros ou adicionados manualmente, em vez de infraestrutura por defeito ou auto-hospedada.
