Electrum corrige una vulnerabilidad explotada con la versión 4.8.3

Un servidor malicioso podía sustituir una transacción pendiente y hacer que, al intentar aumentar su comisión, el usuario firmara un pago a una dirección fraudulenta. Los atacantes llegaron a utilizar direcciones cuyos últimos cuatro caracteres coincidían con los de las legítimas. El fallo está documentado en el aviso de GitHub GHSA-6jp4-8v48-cc5v.

Los desarrolladores recibieron dos informes privados: el primero, el 11 de octubre; el segundo, el 18 de octubre, de un usuario que perdió fondos. La versión 4.8.3 corrige el fallo al verificar las firmas de las transacciones pendientes que gastan monedas de la cartera. Actualiza a esa versión desde electrum.org, comprueba la firma GPG de la descarga y revisa el destino y el importe de cada pago antes de firmarlo, también al ajustar la comisión.

¿Qué medidas adicionales recomiendan?

Además de actualizar a la versión 4.8.3 desde electrum.org y verificar la firma GPG, los usuarios deben inspeccionar cuidadosamente cada dirección de destino y el monto del pago antes de firmar, incluso durante los ajustes de tarifas. Esto es clave porque el ataque se oculta en la similitud parcial de las direcciones.

El parche, introducido en el commit 90fe308, requiere que Electrum verifique las firmas de las transacciones no confirmadas que gastan monedas de la cartera, lo que impide que un servidor malicioso sustituya una transacción sin ser detectado.

Por qué importa

Si usas Electrum, actualizar reduce el riesgo de aprobar un pago sustituido por un servidor malicioso. Comprueba siempre el destino y el importe antes de firmar, incluso cuando solo intentas cambiar la comisión.