- Electrum reveló una vulnerabilidad de alta gravedad que afectaba a versiones anteriores a la 4.8.3.
- El fallo podría permitir que servidores maliciosos engañen a los usuarios que firman transacciones de aumento de comisiones en Bitcoin.
- Los desarrolladores informaron de una explotación activa y al menos una pérdida confirmada en BTC.
Electrum reveló una vulnerabilidad de alta gravedad el 24 de octubre mediante ataques de reemplazo por comisión (RBF) que afectaban a todas las versiones de Electrum anteriores a la 4.8.3. La versión 4.8.3 introdujo comprobaciones adicionales de firma de transacciones.
El aviso de Electrum describe cómo servidores maliciosos pueden engañar a los usuarios para autorizar una transacción fraudulenta durante un aumento de comisiones. Los desarrolladores han confirmado al menos un caso de pérdida de Bitcoin (BTC) de los dos incidentes reportados, lo que pone de manifiesto un posible punto ciego en la autocustodia de Bitcoin.
Cómo un pago legítimo con Bitcoin se convirtió en un posible robo
El 24 de octubre de 2026, Electrum publicó un aviso de seguridad (GHSA-6jp4-8v48-cc5v) que cubre todas las versiones anteriores a la 4.8.3, tras recibir dos denuncias privadas de robo. La vulnerabilidad permitió que el servidor malicioso utilizara un pago saliente normal como una oportunidad para el robo.
El 11 de octubre, el primero informó de un historial desalineado tras la difusión. El segundo, del usuario Raju-K12, el 18 de octubre, trataba sobre la pérdida real de dinero tras un aumento de comisión. Los desarrolladores confirmaron que algunos servidores públicos ya estaban realizando el ataque.
Por ejemplo, si un usuario firma una transacción legítima de Bitcoin (tx1) y la transmite a través de un servidor conectado. Pero si un servidor malicioso retiene tx1 e inyecta una transacción conflictiva e inválida (tx2) en el historial de la cartera, reemplazará las salidas previstas por la dirección del atacante. Y cuando el usuario intenta aumentar la comisión RBF para acelerar el pago «atascado», la billetera vulnerable firmará la transacción fraudulenta en su lugar.
Pero la versión 4.8.3, etiquetada el 23 de octubre y lanzada con binarios el 24 de octubre, cerró la brecha al impedir la validación de firmas de entradas que generan gastar monedas en la cartera antes de que una transacción no confirmada se añada al historial local.
Síguenos en X para actualizaciones en tiempo real sobre criptomonedas.
Autocustodia de Bitcoin: Por qué controlar las claves no es lo mismo que verificar la transacción
La autocustodia comúnmente se denomina «no tus claves, no tus monedas». Eso es cierto, pero no necesariamente es completo. Las claves privadas, o el dispositivo hardware que las almacena, son solo una parte de una solución funcional de autocustodia. El software de la cartera debe ensamblar y mostrar la transacción correctamente, y el usuario debe comprobar las entradas, salidas, importe y comisiones antes de firmar.
La autocustodia da a los usuarios control sobre sus claves privadas, pero no garantiza que el software de la cartera siempre muestre correctamente los detalles de las transacciones. Electrum depende de su servidor conectado para obtener información sobre transacciones no confirmadas, lo que crea un riesgo potencial si un servidor malicioso proporciona datos fraudulentos de transacciones.
Aunque las claves privadas permanecieron bajo el control del usuario, los desarrolladores han confirmado al menos un caso de pérdida de BTC de los dos incidentes reportados. Dicho esto, el incidente plantea una diferencia vital: tener las claves bajo control significa que un custodio no puede controlar unilateralmente los fondos, pero no implica que todas las transacciones que una cartera solicite al usuario sean lo que pretenden.
Cómo los usuarios de Electrum pueden reducir el riesgo
Electrum recomienda actualizar a la versión 4.8.3. Los usuarios deben descargar la actualización desde la página web oficial y verificar su firma. Quienes no puedan actualizar inmediatamente deben comprobar las direcciones completas del destinatario y los importes de las transacciones antes de firmar cualquier transacción, incluyendo el aumento de comisiones. Comprobar solo los últimos caracteres de una dirección es insuficiente, ya que los atacantes reportados usaron direcciones que coincidían con los últimos cuatro caracteres del destinatario legítimo.
Suscríbete a nuestro canal de YouTube para las últimas noticias sobre criptomonedas.
Relacionado: El libro de cuentas de XRP confirma que no se ha creado ningún nuevo XRP tras una vulnerabilidad crítica
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
