As notas oficiais classificam a versão 4.8.3 como uma atualização de segurança. Um comunicado técnico já explica o ataque divulgado e confirma relatos de exploração. O comunicado atribui gravidade alta a essa vulnerabilidade específica.
Para quem usa o Electrum para enviar Bitcoin a uma operação de troca, a preocupação imediata é a transação que está autorizando. Manter o controle das chaves privadas não dispensa a conferência do que o programa pede para assinar com elas.
Como aumentar a taxa podia desviar um pagamento
Segundo o comunicado de segurança do Electrum, um servidor malicioso podia reter uma transação recém-transmitida e fazer a carteira exibir outra, conflitante, em seu lugar. A substituta direcionava os fundos ao endereço do invasor. Suas assinaturas eram inválidas, mas o cliente antigo ainda podia mostrá-la como um pagamento não confirmado.
O momento decisivo ocorria quando o usuário aumentava a taxa daquele pagamento pelo mecanismo de substituição por taxa, conhecido como RBF. Assinar a substituição podia transformar a transação inválida em um pagamento válido ao invasor. O risco combinava um histórico enganoso e a assinatura do usuário, em vez de depender de o servidor obter diretamente as chaves privadas.
Quem precisa atualizar
O comunicado identifica como afetadas as versões anteriores à 4.8.3 e aponta a 4.8.3 como corrigida. Informa que clientes conectados a servidores confiáveis, como um servidor administrado pelo próprio usuário, não são afetados por esse ataque específico. Essa exceção não deve ser entendida como motivo para abandonar as atualizações de segurança.
O ataque descrito exige movimentação e assinatura de transações. Ele não demonstra que uma carteira offline, sem uso, possa ser esvaziada apenas porque existe uma versão antiga do Electrum no computador. Por outro lado, ter as próprias chaves não basta para impedir a aprovação de um pagamento manipulado. Nosso guia de carteiras cripto explica as responsabilidades da autocustódia.
Atualize sem entregar a frase de recuperação
A página oficial de downloads do Electrum disponibiliza a versão e suas assinaturas. A documentação explica que os arquivos da carteira ficam separados do aplicativo. Uma atualização normal é uma instalação de software, não um pedido para transferir dinheiro a um endereço novo.
- Confira se o backup de recuperação está disponível e guardado offline antes de alterar o programa. Não fotografe nem envie a frase para a internet durante a atualização.
- Obtenha o instalador somente pela página oficial de downloads do Electrum. Evite anúncios, mensagens privadas e botões de download apresentados por avisos inesperados.
- Verifique a assinatura GPG correspondente seguindo as instruções do projeto. Confira a impressão digital da chave de assinatura por uma fonte independente e confiável; baixar uma chave, por si só, não comprova sua autenticidade.
- Instale a versão verificada, reabra a carteira e confira a versão. Nunca informe a frase-semente em um site ou em uma janela pop-up que a solicite para atualizar o programa ou verificar a segurança.
A verificação da assinatura confere quem assinou o arquivo baixado e se ele foi alterado. Ela não torna seguros todos os pagamentos futuros. Se a verificação falhar ou não for possível confirmar a chave correta, interrompa a instalação e resolva a divergência com a documentação oficial.
Confira o pagamento, não apenas o status
Antes de assinar, compare o endereço de destino completo, o valor e a taxa com o pagamento pretendido. O comunicado afirma que, nos dois casos relatados, os endereços dos invasores tinham os mesmos quatro caracteres finais dos endereços legítimos. Conferir apenas o final não teria revelado a substituição.
Uma transação pendente inesperada precisa ser investigada antes de qualquer aumento de taxa. Consulte nosso guia de golpes cripto para reconhecer sinais de alerta e o guia para enviar e receber cripto para conferir transferências. A presença de um pagamento no histórico não comprova, sozinha, que ele é o que você criou ou que a rede o aceitou.
O que a divulgação ainda não esclarece
O Electrum relata dois casos informados por usuários, incluindo um que perdeu fundos após aumentar a taxa. Também afirma que servidores maliciosos estão executando o ataque. O comunicado não apresenta um total verificado de vítimas ou prejuízos, portanto esses relatos não devem ser tratados como a dimensão completa do incidente.
A correção acrescenta verificações das assinaturas de entradas pertencentes à carteira em transações não confirmadas. O Electrum também explica que continua sendo um cliente leve, com limites de validação. Atualizar corrige a falha divulgada; revisar cada pagamento continua necessário ao enviar ou trocar Bitcoin.
