Electrum pide a los usuarios de bitcoin que actualicen ya después de que servidores maliciosos cambiaran pagos por otros falsos y un usuario perdiera fondos al subir la comisión

Electrum ha pedido a sus usuarios que actualicen de inmediato tras descubrir que unos atacantes usaban servidores maliciosos para robar bitcoin. En un aviso de seguridad publicado el sábado, los desarrolladores de la billetera describieron un fallo de gravedad alta en todas las versiones anteriores a la 4.8.3. Electrum es una billetera ligera que depende de servidores externos para el historial de transacciones y para difundirlas. Un servidor malicioso podía descartar una transacción que el usuario acababa de enviar, pasar a la billetera una transacción conflictiva e inválida que pagaba a la dirección de un atacante, y la billetera la mostraba como un pago pendiente normal sin comprobar sus firmas.

La trampa se cerraba cuando el usuario intentaba acelerar el pago. La transacción falsa detectada en ataques reales llevaba una comisión cero, dijo el aviso; Bitcoin.com News dijo que eso parecía pensado para incitar a subir la comisión. Al subir la comisión con replace-by-fee, la billetera firmaba la versión del atacante con una comisión más alta. Las direcciones de los atacantes coincidían en los últimos cuatro caracteres con el destino previsto, dijeron el aviso y Bitcoin.com News, de modo que un vistazo rápido no detectaría el cambio.

Un usuario informó en privado de la sustitución el 11 de octubre, y otro informó de que había perdido dinero tras subir la comisión el 18 de octubre, según el aviso. La corrección, que hace que la billetera verifique las firmas de sus propias entradas antes de añadir transacciones no confirmadas a su historial, se etiquetó el 23 de octubre y se lanzó junto con la divulgación pública el sábado. No se dio una cifra total de pérdidas. El sitio de Electrum advierte a los usuarios que descarguen el software solo desde electrum.org y verifiquen las firmas.