Error de billetera Bitcoin explotado para robar fondos mediante tarifas aceleradas

El 26 de octubre de 2026, una falla crítica en la billetera Bitcoin Electrum permitió que servidores maliciosos desviaran fondos explotando el mecanismo de tarifas aceleradas. Según CoinDesk, al menos un usuario confirmó haber perdido bitcoins, subrayando los riesgos persistentes relacionados con la seguridad de las infraestructuras de terceros en un ecosistema donde la confianza reside en protocolos descentralizados. Contexto Electrum, una de las billeteras de software de Bitcoin más antiguas y utilizadas, se apoya en una red de servidores externos para difundir las transacciones y recuperar el historial de pagos. A diferencia de un nodo completo de Bitcoin, que verifica por sí mismo todos los datos de la blockchain, Electrum delega esta tarea a terceros, un enfoque que optimiza la rapidez pero introduce vulnerabilidades. La red Bitcoin, por su parte, atravesaba un período de congestión moderada en el momento del incidente, con más de 43 000 transacciones pendientes en la mempool y tarifas promedio de 0,135 satoshi por byte (sat/vB) para una confirmación en tres bloques. La falla revelada el 26 de octubre se enmarca en un contexto de crecientes tensiones en torno a la seguridad de las billeteras. Los reguladores europeos, bajo el amparo del reglamento MiCA (Markets in Crypto-Assets), han endurecido recientemente los requisitos de transparencia y protección de los usuarios. Paralelamente, el mercado de activos digitales mostraba una estabilidad relativa, con un Bitcoin cotizando alrededor de 61 000 dólares según los datos iniciales de CoinDesk, antes de que CryptoScore Pro revisara esta cifra a 80 053 dólares el mismo día de la publicación. Los hechos La vulnerabilidad, identificada y corregida el 24 de octubre de 2026 con el lanzamiento de la versión 4.8.3 de Electrum, explotaba una falla en la gestión de las transacciones no confirmadas. Aquí están los elementos clave, atribuidos a sus fuentes: Método de ataque : Los servidores maliciosos interceptaban una transacción legítima antes de que fuera difundida en la red Bitcoin. La reemplazaban por una versión fraudulenta, enviando los fondos a una dirección controlada por el atacante, con una firma inválida que la billetera no verificaba. Cuando el usuario intentaba acelerar la transacción a través del mecanismo Replace-by-Fee (RBF), Electrum validaba la versión fraudulenta, enviando los fondos al atacante (fuente: CoinDesk, 26 de octubre de 2026). Víctimas y montos : Los desarrolladores recibieron dos reportes en octubre. El primero, el 11 de octubre, concernía a una billetera multifirma (2 de 3) que utilizaba dos dispositivos Trezor. Aunque el usuario verificó la transacción legítima en sus dispositivos, apareció una transacción saliente diferente en el historial de la billetera, sin que se reportara pérdida de fondos. El segundo caso, reportado el 18 de octubre, resultó en un robo, pero ni el monto ni la identidad de los servidores maliciosos fueron revelados (fuente: CoinDesk). Corrección y recomendaciones : La versión 4.8.3 de Electrum añadió una verificación de firmas para las transacciones no confirmadas que gastan fondos de la billetera. Los desarrolladores aconsejan a los usuarios actualizar su software y verificar sistemáticamente las direcciones de recepción y los montos antes de firmar una transacción. Aquellos conectados únicamente a servidores de confianza, incluidos los suyos, no estuvieron expuestos (fuente: Electrum, 24 de octubre de 2026). Según los datos de CryptoScore Pro al 26 de octubre de 2026 a las 05:19 UTC, el precio de Bitcoin se situaba en 80 053 dólares, con una baja del 0,96 % en 24 horas y del 2,97 % en siete días, con una capitalización de mercado de 1 610 mil millones de dólares. El índice Crypto Fear & Greed mostraba una puntuación neutra de 50/100. No se observó ninguna variación significativa en el precio en las horas siguientes a la revelación de la vulnerabilidad (fuente: CryptoScore Pro). Comprender los conceptos clave Replace-by-Fee (RBF) El Replace-by-Fee es una funcionalidad del protocolo Bitcoin que permite a un usuario reemplazar una transacción no confirmada por una nueva versión que ofrece comisiones más altas. Esta opción es útil cuando la red está congestionada y los mineros priorizan las transacciones más rentables. Por ejemplo, si un usuario envía 0,01 BTC con una comisión de 10 sat/vB pero la transacción permanece bloqueada, puede crear una nueva transacción por el mismo monto con una comisión de 20 sat/vB. Los mineros, atraídos por la remuneración superior, incluirán esta última en el siguiente bloque. Sin embargo, esta flexibilidad introduce riesgos. En el caso de Electrum, los atacantes explotaron el RBF para incitar a los usuarios a validar una transacción fraudulenta, mostrando una versión modificada como "bloqueada" y que requería una aceleración. La billetera, al no verificar la autenticidad de la transacción inicial, permitió que el atacante desviara los fondos. Mempool y congestión de la red La mempool (o "pool de memoria") es una zona temporal donde las transacciones de Bitcoin esperan ser confirmadas por los mineros. Cada nodo de la red mantiene su propia mempool, que puede variar en tamaño según la congestión. Cuando la mempool está saturada, como ocurrió el 26 de octubre de 2026 con 43 420 transacciones pendientes, los usuarios deben aumentar las comisiones para que su transacción sea procesada rápidamente. Por ejemplo, si las comisiones promedio para una confirmación en tres bloques son de 0,135 sat/vB, una transacción con comisiones inferiores podría permanecer pendiente durante horas o incluso días. Esta dinámica crea una presión sobre los usuarios para que ajusten sus comisiones, lo cual fue explotado en el ataque contra Electrum: los atacantes presentaron una transacción fraudulenta como "bloqueada" para incitar a una aceleración a través de RBF. Billetera multifirma (multisig) Una cartera multifirma (o "multisig") requiere varias firmas para autorizar una transacción,…