Electrum publica la versión 4.8.3 para corregir una vulnerabilidad crítica de robo de BTC

La cartera de Bitcoin Electrum, uno de los clientes ligeros más utilizados del mundo, publicó el 24 de octubre de 2026 una actualización crítica (versión 4.8.3) para corregir una falla de seguridad que permitía el robo de bitcoins. Esta vulnerabilidad, clasificada como «alta» por los expertos, expone potencialmente los fondos de más de un millón de usuarios, recordando los riesgos inherentes a las soluciones de software no custodiales en un ecosistema donde la seguridad sigue siendo un desafío importante. Contexto Electrum, desarrollado desde 2011 por un equipo basado en Suiza, es una cartera ligera (SPV) que permite a los usuarios gestionar sus bitcoins sin descargar la totalidad de la blockchain. A diferencia de las carteras completas como Bitcoin Core, Electrum se apoya en servidores de terceros para validar las transacciones, un enfoque que reduce los requisitos técnicos pero introduce dependencias externas. Según los datos de CryptoScore Pro al 25 de octubre de 2026, el software cuenta con aproximadamente 1,2 millones de usuarios activos mensuales, lo que representa casi el 0,03 % de las direcciones de Bitcoin activas. La falla corregida se enmarca en un contexto de mayor vigilancia en torno a las carteras ligeras, cuyas vulnerabilidades ya han sido explotadas en el pasado. En 2023, un ataque similar había afectado a usuarios de carteras móviles, provocando pérdidas estimadas en varios millones de dólares. Por otra parte, el mercado de Bitcoin, aunque menos volátil que en 2024, sigue siendo sensible a los anuncios de seguridad: el precio del BTC retrocedió un 0,4 % el día de la publicación de la actualización, según los datos de CryptoScore Pro. Los hechos La vulnerabilidad, identificada como un error de tipo «man-in-the-middle», permitía que un servidor malicioso interceptara las solicitudes de los usuarios y sustituyera la dirección de destino de una transacción por una dirección controlada por el atacante. Según el aviso de seguridad oficial de Electrum, esta falla afectaba a todas las versiones anteriores a la 4.8.3, incluida la 4.8.2, ampliamente desplegada en la comunidad francófona. Fechas y cifras clave : 24 de octubre de 2026: publicación de la versión 4.8.3 para Windows, macOS y Linux, disponible en electrum.org . 11 y 18 de octubre de 2026: dos reportes de ataques que explotaban la falla, uno de los cuales resultó en la pérdida de fondos para un usuario. Puntuación CVSS superior a 7,0, calificando la vulnerabilidad como de gravedad «alta». 1,2 millones de usuarios activos mensuales (fuente: CryptoScore Pro, datos al 25 de octubre de 2026). Mecanismo del ataque : Un servidor comprometido retenía una transacción legítima y la reemplazaba por una transacción fraudulenta, mostrada en el historial de la billetera. Las direcciones fraudulentas imitaban los cuatro últimos caracteres de la dirección del destinatario legítimo para engañar al usuario. La función Replace-by-Fee (RBF), que permite aumentar las comisiones de una transacción, podía ser desviada para validar la transacción fraudulenta. Respuesta de los desarrolladores : Thomas Vasquez, desarrollador principal de Electrum, recomendó una actualización inmediata y publicó una guía de migración en el foro oficial. La versión 4.8.3 introduce una verificación de las firmas de las transacciones no confirmadas y una autenticación mutua TLS para las conexiones a los servidores. Los usuarios conectados a su propio servidor de confianza no están expuestos a esta falla. Hasta la fecha, no se ha confirmado ningún incidente de pérdida masiva de fondos, pero los desarrolladores subrayan que la falta de datos públicos sobre el número exacto de usuarios afectados limita la evaluación de la exposición real. Por otra parte, se ha reportado una alerta de phishing dirigida a los usuarios de Electrum en las redes sociales, sin que se haya establecido su vínculo con la falla. Comprender los conceptos clave Billetera ligera (SPV) Una billetera ligera, o Simplified Payment Verification (SPV), es un software que permite gestionar criptomonedas sin descargar la totalidad de la blockchain. A diferencia de un nodo completo, que almacena y verifica todas las transacciones desde la creación de la red, una billetera SPV consulta servidores de terceros para obtener la información necesaria (como los saldos o las transacciones pendientes). Por ejemplo, Electrum utiliza este sistema para ofrecer una experiencia de usuario más rápida y que consume menos recursos. Sin embargo, este enfoque se basa en la confianza depositada en los servidores, lo que puede exponer a los usuarios a riesgos de manipulación, como en el caso del fallo corregido. Man-in-the-middle (MITM) Un ataque de tipo man-in-the-middle (MITM) consiste en que un atacante se interponga entre dos partes que se comunican (en este caso, un usuario y un servidor de Electrum) para interceptar, modificar o redirigir los datos intercambiados. En el caso de Electrum, el atacante podía sustituir la dirección de destino de una transacción por la suya propia, sin que el usuario se diera cuenta. Este tipo de ataque es particularmente peligroso en las redes descentralizadas, donde la ausencia de un tercero de confianza centralizado hace que la detección de fraudes sea más compleja. Un ejemplo concreto sería un hacker interceptando una transacción de 1 BTC hacia una dirección legítima y redirigiéndola hacia su propia billetera. Replace-by-Fee (RBF) La función Replace-by-Fee (RBF) es un mecanismo del protocolo Bitcoin que permite a un usuario aumentar las comisiones de una transacción no confirmada para acelerar su procesamiento por la red. Por ejemplo, si una transacción tarda demasiado en ser validada debido a comisiones demasiado bajas, el usuario puede crear una nueva versión de esa transacción con comisiones más altas, que reemplazará a la anterior. Sin embargo, esta función puede ser desviada: en el caso del fallo de Electrum, un atacante explotó el RBF para incitar al usuario a firmar una…