Electrum 4.8.3 corrige un fallo que permitía robar bitcoin

Electrum, el monedero de bitcoin de escritorio que circula desde 2011, publicó el sábado la versión 4.8.3 para cerrar un fallo que los atacantes ya habían usado para robar fondos. El agujero no estaba en la criptografía ni en el ordenador de la víctima, sino en la confianza que el programa deposita en el servidor al que se conecta: un servidor malicioso podía sustituir la transacción legítima del usuario por otra que mandaba el dinero a una dirección del ladrón y después esperar, tranquilo, a que la propia víctima la aprobase al subir la comisión de su pago. El aviso de seguridad publicado en el repositorio del proyecto describe ese mecanismo y sitúa su origen en un cambio de código concreto; la explotación la recogió Bitcoin.com este domingo. El bitcoin se cambiaba mientras tanto a $80.682,00, un -36,0% por debajo de su máximo histórico de $126.080,00.

Por qué subir la comisión acababa firmando la transacción del ladrón

Electrum es un monedero ligero. No descarga la cadena de bloques entera: pregunta a un servidor externo qué transacciones afectan a sus direcciones y en qué estado están. Ese reparto de trabajo es lo que permite abrirlo en un portátil modesto en segundos, y también lo que obliga a confiar en un tercero que cualquiera puede levantar, porque la lista de servidores públicos está abierta a quien quiera añadir el suyo. Sobre esa confianza se montó el ataque: el servidor devolvía al monedero una transacción que no era la del usuario, y el monedero la presentaba como si lo fuera.

La pieza que lo remataba era el ajuste de comisión. Cuando un pago en bitcoin se queda atascado porque paga poco a los mineros, el protocolo permite reemplazarlo por otro idéntico con una comisión mayor, y Electrum ofrece ese botón a un clic. Al pulsarlo, el usuario cree que está acelerando su propio envío y en realidad firma lo que le ha servido el servidor, con el destino cambiado. No hacía falta malware en el equipo ni acceso a la clave privada: la firma la ponía la víctima, voluntariamente, convencida de estar arreglando su propia transacción.

Un cambio de código introdujo el fallo y la 4.8.3 lo cierra

El aviso del proyecto, identificado como GHSA-6jp4-8v48-cc5v, señala el commit 90fe308 como el momento en que el comportamiento entró en el código, y la 4.8.3 como la versión que lo corrige. Esa versión salió el sábado con una advertencia a los usuarios. El orden de los hechos es el que importa: primero hubo robos, después el parche. No es el hallazgo teórico de un auditor, es un ataque ejecutado contra gente con dinero dentro. Cuántos afectados hubo y por cuánto, no se ha detallado.

Los servidores de Electrum ya habían sido el eslabón débil

El diseño tiene antecedentes. A finales de 2018 y durante 2019, operadores de servidores maliciosos aprovecharon los mensajes que el programa muestra al usuario para empujarle a instalar versiones falsas del monedero, y el proyecto tuvo que ir tapando esa vía durante meses. El patrón se repite: el ladrón no rompe la clave, controla el canal por el que el monedero recibe información y espera a que el usuario firme algo que no ha compuesto él.

Contra eso sirve de poco el cuidado con las contraseñas y sirve bastante un dispositivo que muestre en su propia pantalla la dirección y el importe antes de firmar, el mismo punto que destapó la demanda contra Coinkite por un fallo en los Coldcard. Un monedero físico no habría evitado que el servidor colase su transacción, pero sí habría puesto el destino real delante de los ojos del usuario en el momento de aprobarla. El episodio también llega con el software de referencia de la red cambiando de criterio sobre cuándo contar lo que falla: Bitcoin Core revisó su política de divulgación de vulnerabilidades para no esconder los fallos que una IA puede encontrar sola.

El bitcoin ronda la parte baja de su último mes

El precio fija cuánto vale lo que se firma sin querer. El bitcoin cotiza en $80.682,00 y pierde un -4,52% en los 31 días que recoge nuestra serie, cuyo nivel más bajo lo marcó el viernes 23 de octubre. Así se movió la última semana:

Fecha	Precio (USD)
18/10/2026	81.657
19/10/2026	81.957
20/10/2026	82.896
21/10/2026	84.278
22/10/2026	81.258
23/10/2026	80.455
24/10/2026	80.529

Electrum publicó la 4.8.3 el sábado 24 de octubre. Quien siga en una versión anterior y se conecte a un servidor público tiene el mismo agujero abierto que tenía el viernes.

Fuentes

• GitHub advisory GHSA-6jp4-8v48-cc5v — fuente primaria (github.com), enlazada por Bitcoin.com
• introduced through commit 90fe308 — fuente primaria (github.com), enlazada por Bitcoin.com
• Electrum Wallet Attack Hid Bitcoin Theft Behind a Fee Increase — Bitcoin.com, 25/10/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.