Las notas oficiales identifican la versión 4.8.3 como una actualización de seguridad. El aviso técnico ya explica el ataque divulgado y confirma casos de explotación. El aviso clasifica esta vulnerabilidad concreta como de gravedad alta.
Para quien utiliza Electrum para enviar Bitcoin a un intercambio, lo inmediato es revisar la transacción que autoriza. Conservar las claves privadas no elimina la necesidad de comprobar qué pide firmar el programa con ellas.
Cómo subir una comisión podía desviar el pago
Según el aviso de seguridad de Electrum, un servidor malicioso podía retener una transacción recién enviada y hacer que la cartera mostrara otra incompatible en su lugar. Esa sustitución dirigía los fondos a la dirección del atacante. Sus firmas no eran válidas, pero el cliente antiguo podía mostrarla como un pago sin confirmar.
El paso decisivo llegaba cuando el usuario aumentaba la comisión mediante el mecanismo de sustitución por comisión, conocido como RBF. Al firmar la sustitución, podía convertir aquella transacción inválida en un pago válido al atacante. El riesgo combinaba un historial engañoso y la firma del usuario; no consistía en que el servidor obtuviera directamente las claves privadas.
Qué usuarios deben actualizar
El aviso incluye entre las versiones afectadas todas las anteriores a 4.8.3 e identifica 4.8.3 como la versión corregida. Indica que los clientes conectados a servidores de confianza, por ejemplo uno administrado por el propio usuario, no están afectados por este ataque concreto. Esa excepción no justifica dejar de instalar actualizaciones de seguridad.
El ataque descrito requiere actividad y firma de transacciones. No demuestra que una cartera sin conexión y sin uso pueda vaciarse simplemente porque haya una versión antigua de Electrum en un ordenador. A la inversa, controlar las claves tampoco basta para protegerse si se autoriza un pago manipulado. Nuestra guía de carteras de criptomonedas explica las responsabilidades de la autocustodia.
Actualizar sin entregar la frase de recuperación
La página oficial de descargas de Electrum ofrece la versión y sus firmas. La documentación explica que los archivos de la cartera se guardan por separado de la aplicación. Una actualización normal consiste en instalar software, no en enviar fondos a una dirección nueva.
- Comprueba que dispones de tu copia de recuperación y que la guardas sin conexión antes de modificar el programa. No fotografíes ni subas la frase como parte de la actualización.
- Obtén el instalador únicamente desde la página oficial de descargas de Electrum. Evita anuncios, mensajes privados y botones de descarga incluidos en alertas inesperadas.
- Verifica la firma GPG correspondiente siguiendo las instrucciones del proyecto. Contrasta la huella de la clave firmante con una fuente independiente de confianza; descargar una clave no demuestra por sí solo su autenticidad.
- Instala la versión verificada, abre la cartera y comprueba su número de versión. Nunca introduzcas la frase semilla en una web ni en una ventana emergente que la solicite para actualizar o revisar la seguridad.
La verificación de la firma comprueba quién firmó el archivo descargado y si ha cambiado. No garantiza la seguridad de los pagos futuros. Si falla la comprobación o no puedes establecer cuál es la clave correcta, detén la instalación y resuelve la discrepancia con la documentación oficial.
Revisa el pago, no solo su estado
Antes de firmar, compara la dirección de destino completa, el importe y la comisión con el pago que pretendías realizar. El aviso indica que las direcciones de los atacantes en los dos casos comunicados coincidían en sus últimos cuatro caracteres con las direcciones legítimas. Revisar solo el final no habría permitido detectar la sustitución.
Una transacción pendiente inesperada merece una revisión antes de subir su comisión. Consulta nuestra guía sobre estafas con criptomonedas para identificar señales de alerta y la guía para enviar y recibir criptomonedas para comprobar transferencias. Que un pago aparezca en el historial no demuestra por sí solo que sea el que creaste ni que la red lo haya aceptado.
Lo que la divulgación no permite determinar
Electrum recoge dos relatos de usuarios sobre el ataque, incluido uno que perdió fondos tras aumentar la comisión. También indica que hay servidores maliciosos ejecutándolo. El aviso no ofrece un total verificado de víctimas o pérdidas, de modo que esos casos no deben presentarse como la dimensión completa del incidente.
La corrección añade comprobaciones de las firmas de entradas pertenecientes a la cartera en transacciones sin confirmar. Electrum explica además que sigue siendo un cliente ligero con límites de validación. Actualizar resuelve el fallo divulgado; revisar cada pago sigue siendo necesario al enviar o intercambiar Bitcoin.
