- A Electrum revelou uma vulnerabilidade de alta gravidade que afeta versões anteriores à 4.8.3.
- A falha pode permitir que servidores maliciosos enganem usuários que assinam transações de aumento de taxa em Bitcoin.
- Desenvolvedores relataram exploração ativa e pelo menos uma perda confirmada em BTC.
A Electrum revelou uma vulnerabilidade de alta gravidade em 24 de outubro por meio de ataques de substituição por taxa (RBF) que afetaram todas as versões da Electrum anteriores à 4.8.3. A versão 4.8.3 introduziu verificações adicionais de assinatura de transação.
O aviso da Electrum descreve como servidores maliciosos podem induzir usuários a autorizar uma transação fraudulenta durante um aumento de taxa. Desenvolvedores confirmaram pelo menos um caso de perda de Bitcoin (BTC) entre os dois incidentes relatados, destacando um possível ponto cego na autocustódia do Bitcoin.
Como um pagamento legítimo em Bitcoin se tornou um possível roubo
Em 24 de outubro de 2026, a Electrum divulgou um aviso de segurança (GHSA-6jp4-8v48-cc5v) cobrindo todas as versões anteriores à 4.8.3, após receber dois relatos privados de roubo. A vulnerabilidade permitiu que o servidor malicioso usasse um pagamento normal como uma oportunidade de roubo.
Em 11 de outubro, o primeiro relatou um histórico desalinhado após a transmissão. O segundo, do usuário Raju-K12, em 18 de outubro, tratava da perda real de dinheiro após um aumento de taxa. Desenvolvedores confirmaram que alguns servidores públicos já estavam realizando o ataque.
Por exemplo, se um usuário assina uma transação legítima de Bitcoin (tx1) e a transmite por meio de um servidor conectado. Mas se um servidor malicioso retém o tx1 e injeta uma transação conflitante e inválida (tx2) no histórico da carteira, ele substituirá as saídas pretendidas pelo endereço do atacante. E quando o usuário tenta aumentar a taxa RBF para acelerar o pagamento “preso”, a carteira vulnerável assinará a transação fraudulenta em vez disso.
Mas a versão 4.8.3, marcada em 23 de outubro e lançada com binários em 24 de outubro, preencheu essa lacuna ao impedir a validação de assinatura de entradas que geram moedas gastas na carteira antes que uma transação não confirmada seja adicionada ao histórico local.
Siga-nos no X para atualizações em tempo real sobre cripto.
Autocustódia do Bitcoin: Por que Controlar as Chaves Não É O Mesmo Que Verificar a Transação
A autocustódia é comumente chamada de “não suas chaves, não suas moedas.” Isso é verdade, mas não é necessariamente completo. Chaves privadas, ou o dispositivo de hardware que as armazena, são apenas uma parte de uma solução funcional de autocustódia. O software da carteira precisa montar e exibir a transação corretamente, e o usuário precisa verificar as entradas, saídas, valores e taxas antes de assinar.
A autocustódia dá aos usuários controle sobre suas chaves privadas, mas não garante que o software da carteira sempre exibirá corretamente os detalhes das transações. A Electrum depende de seu servidor conectado para obter informações sobre transações não confirmadas, criando um risco potencial caso um servidor malicioso forneça dados fraudulentos de transações.
Embora as chaves privadas permanecessem sob controle do usuário, os desenvolvedores confirmaram pelo menos um caso de perda de BTC entre os dois incidentes relatados. Dito isso, o incidente levanta uma diferença vital: ter as chaves sob controle significa que um custodiante não pode controlar unilateralmente os fundos, mas não implica que todas as transações que uma carteira pede ao usuário para assinar sejam o que pretendem.
Como os Usuários da Electrum Podem Reduzir o Risco
A Electrum recomenda a atualização para a versão 4.8.3. Os usuários devem baixar a atualização do site oficial e verificar sua assinatura. Aqueles que não puderem atualizar imediatamente devem verificar os endereços completos dos destinatários e os valores das transações antes de assinar qualquer transação, incluindo aumentos de taxas. Verificar apenas os últimos caracteres de um endereço é insuficiente, pois os atacantes relatados usaram endereços que correspondiam aos últimos quatro caracteres do destinatário legítimo.
Assine nosso canal no YouTube para as últimas notícias sobre cripto.
Relacionado: O Livro de Registro XRP Confirma Que Não Criou Novo XRP Após Vulnerabilidade Crítica
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
