Electrum pide actualizar: servidores maliciosos robaron bitcoin al acelerar comisiones

Los desarrolladores de Electrum lanzaron la versión 4.8.3 para corregir una falla grave que, según su aviso de seguridad GHSA-6jp4-8v48-cc5v, permitía a un servidor malicioso engañar al usuario para que firmara un pago al atacante al “acelerar” una transacción. Al menos un usuario perdió fondos. La falla afecta a todas las versiones anteriores a la 4.8.3.

Las notas de versión oficiales fechan la 4.8.3 el 23 de octubre de 2026. La clasifican con severidad alta (“sev-high”) y resumen el problema así: un servidor malicioso puede reemplazar una transacción recién transmitida e intentar que el usuario la acelere con RBF. Según crypto.news, los archivos de instalación y el aviso se publicaron el 24 de octubre. En X, el equipo de Electrum escribió: “Esta versión corrige un problema de seguridad crítico, por lo que pedimos a todos los usuarios que actualicen”, de acuerdo con el mismo medio.

Qué es “acelerar” una transacción

Cuando envías bitcoin, la transacción espera en una fila hasta que un minero la incluye en un bloque. Si pagaste poca comisión, puede tardar. La función RBF (Replace-by-Fee, “reemplazar por comisión”), que en Electrum aparece como “Bump fee”, crea una versión nueva de la misma transacción con una comisión más alta para que se confirme antes. Esa versión nueva se firma otra vez.

Cómo funcionaba el ataque, paso a paso

Electrum se apoya en servidores externos y, para las transacciones aún no confirmadas, confía en su servidor principal. Según crypto.news, que resume el aviso, el ataque seguía estos pasos:

• 1. El servidor retiene el pago: el usuario envía una transacción y el servidor malicioso no la transmite a la red de Bitcoin.
• 2. Muestra una transacción falsa: en el historial de la billetera aparece otra transacción, con firmas inválidas, que paga a una dirección del atacante. Las versiones vulnerables no revisaban esas firmas.
• 3. Invita a acelerarla: la transacción falsa no se confirma. En uno de los casos tenía comisión cero, lo que, según los desarrolladores, buscaba empujar al usuario a subirla.
• 4. El usuario firma el robo: al usar “Bump fee” sobre esa transacción, la billetera genera y firma una versión válida, y el pago va al atacante.

Las direcciones del atacante compartían los últimos cuatro caracteres con la dirección real del destinatario en los dos casos reportados.

Los dos reportes

Según crypto.news, el equipo recibió dos reportes privados. El primero, del usuario dannydeezy, llegó el 11 de octubre: describía una billetera multifirma 2 de 3 con dos dispositivos Trezor, en la que la transacción original nunca llegó a la red y fue sustituida por otra que enviaba casi todo el saldo a una dirección parecida. El segundo, de Raju-K12, llegó el 18 de octubre: ese usuario perdió fondos al intentar subir la comisión. La corrección llegó seis días después del primer robo reportado, y los desarrolladores no han dicho cuánto se robó ni qué servidores eran maliciosos, según CoinDesk (26 de octubre).

El fallo está en el software Electrum, no en las billeteras de hardware: el dispositivo firmó lo que la aplicación le presentó. Según el aviso citado por crypto.news, quien se conecta solo a servidores de confianza, como uno propio, no está expuesto a este ataque.

Qué cambia con la versión 4.8.3

La nueva versión verifica las firmas de las transacciones no confirmadas que gastan fondos de la propia billetera antes de añadirlas al historial, según crypto.news.

Qué hacer ahora si usas Electrum

• Actualiza a la 4.8.3 solo desde fuentes oficiales: el sitio electrum.org o la tienda oficial de tu teléfono. No descargues desde enlaces en mensajes o ventanas emergentes: en 2018 y 2019 servidores maliciosos difundieron falsas actualizaciones de Electrum.
• Verifica la firma del archivo si sabes hacerlo: electrum.org publica firmas para comprobar que el instalador es auténtico.
• Mientras no actualices, no aceleres transacciones: evita usar “Bump fee” en una versión anterior a la 4.8.3.
• Revisa la dirección completa y el monto antes de firmar: no te fíes solo del inicio o del final de la dirección, también en la pantalla de tu billetera de hardware.
• Usa un servidor propio si puedes: conectarte solo a un servidor de confianza te deja fuera de este ataque, según el aviso.

Qué no sabemos

No se ha revelado cuánto bitcoin se robó, cuántas víctimas hubo ni cuántos servidores maliciosos participaron, según crypto.news. Las fuentes tampoco mencionan que se expusieran frases semilla o claves privadas: según la descripción del ataque, este dependía de que el usuario firmara una transacción manipulada.

Fuentes consultadas el 25 de octubre de 2026: notas de versión de Electrum y crypto.news. Este contenido es informativo y no es una recomendación de inversión.