Electrum ha publicado la versión 4.8.3 para corregir una vulnerabilidad crítica que, según su aviso de seguridad GHSA-6jp4-8v48-cc5v, permitía a un servidor malicioso engañar al usuario y lograr la firma de una transacción que pagaba al atacante. Las notas de la versión datan el lanzamiento el 23 de octubre de 2026 y citadas, al menos un usuario perdió fondos por este fallo.
Qué ocurrió y a quién afecta
El fallo comprometía versiones anteriores a la 4.8.3 y aprovechaba la forma en que Electrum se apoya en servidores externos para gestionar transacciones no confirmadas. La vulnerabilidad se explotaba en combinación con la función RBF (Replace-by-Fee), que en Electrum aparece como "Bump fee" y permite volver a firmar una transacción con una comisión superior para acelerar su confirmación.
- La versión vulnerable no comprobaba correctamente ciertas firmas de transacciones mostradas por el servidor.
- El servidor malicioso podía retener la transacción original y mostrar una falsa en el historial del monedero, dirigida a una dirección del atacante.
- El usuario, invitado a acelerar la transacción, firmaba la versión fraudulenta y perdía los fondos.
Crypto.news y el propio aviso técnico describen el mecanismo y confirman que la falla permitía reemplazar una transacción recién transmitida con otra fraudulenta. Los archivos de instalación y el comunicado se publicaron el 24 de octubre, según la reseña de la publicación.
«Esta versión corrige un problema de seguridad crítico, por lo que pedimos a todos los usuarios que actualicen», escribió el equipo de Electrum en X.
Recomendaciones contenidas en el aviso
Los desarrolladores insisten en actualizar a la 4.8.3 de inmediato. La nota técnica clasifica el problema con severidad alta («sev-high») y recuerda que cualquier instalación anterior resulta vulnerable mientras no se aplique la corrección.
Electrum es un cliente ligero para bitcoin ampliamente utilizado que depende de servidores externos para ciertas funciones; la interdependencia con esos servidores es precisamente el vector que explotó esta falla. Fuentes especializadas confirman, además, que hubo al menos un incidente con pérdida real de fondos, aunque no se dispone de una cifra oficial de la cuantía robada.
Usuarios y administradores de infraestructuras que ofrezcan servicios relacionados con Electrum deben verificar la versión instalada y proceder a la actualización para mitigar el riesgo descrito en el aviso de seguridad GHSA-6jp4-8v48-cc5v.
