Electrum publicó el 24 de octubre de 2026 la versión 4.8.3 para corregir un fallo que permitía a servidores maliciosos manipular pagos pendientes de Bitcoin. El engaño podía desviar fondos cuando el usuario firmaba de nuevo para aumentar la comisión, según el aviso de seguridad del proyecto.
El aviso, publicado por el desarrollador SomberNight, clasifica el fallo como de gravedad alta y señala como vulnerables las versiones anteriores a 4.8.3. Recoge dos reportes privados, del 11 y el 18 de octubre; el segundo describe una pérdida de fondos cuyo monto no se especifica.
El aumento de comisión requería otra firma
Replace-by-Fee (RBF) permite sustituir un pago sin confirmar por otro con una comisión mayor para intentar acelerar su inclusión en un bloque. La guía de Trezor describe una operación de reemplazo cuyos detalles actualizados deben confirmarse en el dispositivo.
En el ataque descrito por Electrum, el servidor retenía el envío legítimo y mostraba en su lugar una operación falsa con otro destinatario. Sus firmas eran inválidas, pero las versiones afectadas la incorporaban al historial sin comprobarlas.
Al intentar acelerar ese pago, el usuario podía firmar una sustitución válida que enviaba los fondos al atacante. En ambos reportes, la dirección falsa coincidía en sus últimos cuatro caracteres con la original.
Qué comprueba ahora Electrum
El cambio de código del parche verifica las firmas de las entradas que gastan monedas del propio monedero antes de incorporar una operación pendiente al historial. Así se rechazan las falsificaciones descritas. La comprobación deja fuera las entradas de terceros, como las de un pago entrante sin confirmar.
Electrum sigue siendo un cliente ligero. Su documentación indica que suele mantener unas diez conexiones, pero un servidor principal proporciona el historial y difunde los envíos. Los demás aportan principalmente cabeceras de bloques y estimaciones de comisiones. Por ese reparto de funciones, conectarse a varios servidores no supone contrastar el historial pendiente con todos ellos.
Las transacciones confirmadas reciben otro tratamiento: Electrum utiliza verificación simplificada de pagos, o SPV, para comprobar su inclusión en bloques. Según el aviso, quienes se conectan exclusivamente a servidores de confianza, por ejemplo uno propio, quedan fuera de este ataque.
El proyecto pide actualizar y revisar direcciones e importes antes de firmar cualquier transacción, incluidas las sustituciones para aumentar la comisión. En su sitio oficial, también indica que las descargas deben proceder de ese dominio y verificarse con la firma GPG para comprobar su autenticidad.
