✨︎ Resumen (TL;DR):
- Electrum publicó el 24 de octubre de 2026 la versión 4.8.3 para corregir el fallo.
- El aviso de seguridad clasifica el problema como de gravedad alta y señala vulnerables las versiones anteriores a 4.8.3.
- Un servidor malicioso podía convertir un aumento de comisión en un envío válido al atacante.
Electrum publicó el 24 de octubre de 2026 la versión 4.8.3 de su cliente ligero de Bitcoin para corregir un fallo de gravedad alta. Un servidor malicioso podía retener el envío legítimo y mostrar una operación falsa; al intentar aumentar la comisión, el usuario podía firmar una sustitución válida que enviaba los fondos al atacante.
El aviso de seguridad, publicado por el desarrollador SomberNight, señala como vulnerables las versiones anteriores a 4.8.3. También recoge dos reportes privados, del 11 y el 18 de octubre. El segundo describe una pérdida de fondos, pero el monto no se especifica.
El ataque se activaba al subir la comisión
Replace-by-Fee (RBF) es un mecanismo que permite sustituir un pago de Bitcoin sin confirmar por otro con una comisión mayor para intentar acelerar su inclusión en un bloque.
La guía de Trezor describe una operación de reemplazo cuyos detalles actualizados deben confirmarse en el dispositivo. En el ataque descrito por Electrum, el servidor retenía el envío legítimo y mostraba en su lugar una operación falsa con otro destinatario.
Las firmas de esa operación eran inválidas, pero las versiones afectadas la incorporaban al historial sin comprobarlas. Cuando el usuario intentaba acelerar ese pago, podía firmar una sustitución válida que enviaba los fondos al atacante.
En ambos reportes, la dirección falsa coincidía con la original en sus últimos cuatro caracteres.
Qué comprueba ahora Electrum
El cambio de código verifica las firmas de las entradas que gastan monedas del propio monedero antes de incorporar una operación pendiente al historial. Con esta comprobación, Electrum rechaza las falsificaciones descritas.
El alcance de la validación tiene un límite explícito: deja fuera las entradas de terceros, como las de un pago entrante sin confirmar.
Conectarse a varios servidores no basta
Electrum sigue siendo un cliente ligero. Su documentación indica que suele mantener unas diez conexiones, pero un servidor principal proporciona el historial y difunde los envíos. Los demás aportan principalmente cabeceras de bloques y estimaciones de comisiones.
Por ese reparto de funciones, conectarse a varios servidores no supone contrastar el historial pendiente con todos ellos.
La verificación simplificada de pagos (SPV) es un método que Electrum utiliza para comprobar la inclusión de transacciones confirmadas en bloques. Según el aviso, quienes se conectan exclusivamente a servidores de confianza, por ejemplo uno propio, quedan fuera de este ataque.
Qué recomienda el proyecto
Electrum pide actualizar a 4.8.3 y revisar las direcciones y los importes antes de firmar cualquier transacción, incluidas las sustituciones para aumentar la comisión.
Las descargas deben proceder del sitio oficial de Electrum y verificarse con la firma GPG para comprobar su autenticidad.
