Electrum corrige un fallo que podía desviar un pago tras aumentar la comisión

Un aviso de gravedad alta publicado el 24 de octubre

Electrum publicó el 24 de octubre de 2026 un aviso de seguridad de gravedad alta que afecta a las versiones anteriores a la 4.8.3. El desarrollador SomberNight describe un ataque de servidores maliciosos contra la visualización de pagos sin confirmar. El equipo afirma haber recibido dos notificaciones, incluida la de un usuario que perdió fondos tras aumentar la comisión de una transacción el 18 de octubre. El aviso no precisa la cuantía perdida.

El funcionamiento del monedero explica el punto de exposición. Electrum utiliza servidores para obtener el historial de las direcciones y difundir los pagos. Su documentación distingue las transacciones confirmadas, verificadas mediante pruebas SPV, de las pendientes, para las que el servidor principal desempeña un papel de confianza. También indica que el cliente nunca envía sus claves privadas a los servidores. Sin embargo, proteger estos secretos no garantiza que el historial proporcionado muestre siempre al destinatario correcto.

El desvío pasa por una nueva firma

En el escenario descrito, el servidor retiene el pago legítimo enviado por el cliente y muestra en su lugar una transacción contradictoria, con firmas inválidas y una dirección de destino controlada por el atacante. Si el usuario aumenta después manualmente la comisión de esa operación engañosa, el monedero firma un nuevo pago que puede enviar los bitcoins a la dirección equivocada. Por tanto, no se trata de un servidor que gasta los fondos por sí solo utilizando claves privadas robadas: la nueva firma del usuario tiene un papel decisivo.

La corrección verifica las firmas de las entradas pertenecientes al monedero antes de añadir una transacción sin confirmar a su historial local. El aviso señala una limitación: esta comprobación no cubre las entradas externas al monedero, entre ellas las de determinadas transacciones entrantes. Por tanto, la versión corregida no convierte Electrum en un nodo completo de Bitcoin. Según el equipo, los clientes que solo utilizan un servidor que controlan o en el que confían no se ven afectados por este escenario.

Actualizar desde la distribución oficial

Las notas de la versión 4.8.3 llevan la fecha del 23 de octubre, mientras que la cronología del aviso sitúa la distribución de los ejecutables el 24 de octubre. Esta diferencia corresponde a las fases de preparación y distribución del software. El sitio oficial ofrece la descarga y las firmas de verificación correspondientes. Pide utilizar exclusivamente electrum.org como fuente y verificar las firmas GPG. También indica que los ejecutables son reproducibles y están firmados de manera independiente por varias personas que participan en su construcción.

La documentación recuerda que un aumento de la comisión afecta a una transacción reemplazable y da lugar a una nueva operación que debe firmarse y después difundirse. Este mecanismo normal sirve para acelerar un pago pendiente, pero exige volver a comprobar qué se va a firmar. La corrección responde aquí a una manipulación del historial presentado por un servidor. Verificar la dirección de destino completa y el importe sigue siendo pertinente antes de cualquier firma, en lugar de considerar la acción como un mero cambio técnico del coste del envío.