Bug del portafoglio Bitcoin sfruttato per rubare fondi tramite commissioni accelerate

Il 26 ottobre 2026, una falla critica nel portafoglio Bitcoin Electrum ha permesso a server malevoli di dirottare fondi sfruttando il meccanismo delle commissioni accelerate. Secondo CoinDesk, almeno un utente ha confermato di aver perso bitcoin, sottolineando i rischi persistenti legati alla sicurezza delle infrastrutture di terze parti in un ecosistema in cui la fiducia si basa su protocolli decentralizzati. Contesto Electrum, uno dei portafogli software Bitcoin più vecchi e più utilizzati, si appoggia a una rete di server esterni per diffondere le transazioni e recuperare la cronologia dei pagamenti. A differenza di un nodo Bitcoin completo, che verifica autonomamente tutti i dati della blockchain, Electrum delega questo compito a terzi, un approccio che ottimizza la velocità ma introduce vulnerabilità. La rete Bitcoin, dal canto suo, attraversava un periodo di moderata congestione al momento dell'incidente, con oltre 43.000 transazioni in attesa nella mempool e commissioni medie di 0,135 satoshi per byte (sat/vB) per una conferma entro tre blocchi. La falla rivelata il 26 ottobre si inserisce in un contesto di crescenti tensioni attorno alla sicurezza dei portafogli. I regolatori europei, sotto l'egida del regolamento MiCA (Markets in Crypto-Assets), hanno recentemente inasprito i requisiti in materia di trasparenza e protezione degli utenti. Parallelamente, il mercato degli asset digitali mostrava una relativa stabilità, con un Bitcoin che oscillava intorno ai 61.000 dollari secondo i dati iniziali di CoinDesk, prima che CryptoScore Pro rivedesse questa cifra a 80.053 dollari lo stesso giorno della pubblicazione. I fatti La vulnerabilità, identificata e corretta il 24 ottobre 2026 con il rilascio della versione 4.8.3 di Electrum, sfruttava una falla nella gestione delle transazioni non confermate. Ecco gli elementi chiave, attribuiti alle loro fonti: Metodo di attacco : I server malevoli intercettavano una transazione legittima prima che venisse diffusa sulla rete Bitcoin. La sostituivano con una versione fraudolenta, spendendo i fondi verso un indirizzo controllato dall'attaccante, con una firma non valida che il portafoglio non verificava. Quando l'utente tentava di accelerare la transazione tramite il meccanismo Replace-by-Fee (RBF), Electrum validava la versione fraudolenta, inviando i fondi all'attaccante (fonte: CoinDesk, 26 ottobre 2026). Vittime e importi : Due segnalazioni sono state ricevute dagli sviluppatori a ottobre. La prima, l'11 ottobre, riguardava un portafoglio multisig (2 su 3) che utilizzava due dispositivi hardware Trezor. Sebbene l'utente avesse verificato la transazione legittima sui propri dispositivi, una transazione in uscita diversa è apparsa nella cronologia del portafoglio, senza che fosse stata segnalata alcuna perdita di fondi. Il secondo caso, riportato il 18 ottobre, ha portato a un furto, ma né l'importo né l'identità dei server malevoli sono stati divulgati (fonte: CoinDesk). Correzione e raccomandazioni : La versione 4.8.3 di Electrum ha aggiunto una verifica delle firme per le transazioni non confermate che spendono fondi dal portafoglio. Gli sviluppatori consigliano agli utenti di aggiornare il software e di verificare sistematicamente gli indirizzi di ricezione e gli importi prima di firmare una transazione. Coloro che erano connessi solo a server attendibili, inclusi i propri, non erano esposti (fonte: Electrum, 24 ottobre 2026). Secondo i dati di CryptoScore Pro al 26 ottobre 2026 alle 05:19 UTC, il prezzo di Bitcoin era di 80.053 dollari, in calo dello 0,96% nelle 24 ore e del 2,97% in sette giorni, con una capitalizzazione di mercato di 1.610 miliardi di dollari. L'indice Crypto Fear & Greed mostrava un punteggio neutro di 50/100. Nessuna variazione significativa del prezzo è stata osservata nelle ore successive alla rivelazione della falla (fonte: CryptoScore Pro). Comprendere i concetti chiave Replace-by-Fee (RBF) Il Replace-by-Fee è una funzionalità del protocollo Bitcoin che consente a un utente di sostituire una transazione non confermata con una nuova versione che offre commissioni più elevate. Questa opzione è utile quando la rete è congestionata e i miner danno priorità alle transazioni più remunerative. Per esempio, se un utente invia 0,01 BTC con commissioni di 10 sat/vB ma la transazione rimane bloccata, può creare una nuova transazione per lo stesso importo con commissioni di 20 sat/vB. I miner, attratti dalla remunerazione superiore, includeranno quest'ultima nel blocco successivo. Tuttavia, questa flessibilità introduce dei rischi. Nel caso di Electrum, gli aggressori hanno sfruttato l'RBF per indurre gli utenti a convalidare una transazione fraudolenta, mostrando una versione modificata come "bloccata" e bisognosa di accelerazione. Il wallet, non verificando l'autenticità della transazione iniziale, ha permesso all'aggressore di dirottare i fondi. Mempool e congestione della rete La mempool (o "memory pool") è un'area temporanea dove le transazioni Bitcoin attendono di essere confermate dai miner. Ogni nodo della rete mantiene la propria mempool, che può variare in dimensione a seconda della congestione. Quando la mempool è satura, come accaduto il 26 ottobre 2026 con 43.420 transazioni in attesa, gli utenti devono aumentare le commissioni affinché la loro transazione venga elaborata rapidamente. Per esempio, se le commissioni medie per una conferma in tre blocchi sono di 0,135 sat/vB, una transazione con commissioni inferiori potrebbe rimanere in attesa per ore, o addirittura giorni. Questa dinamica crea una pressione sugli utenti affinché regolino le proprie commissioni, il che è stato sfruttato nell'attacco contro Electrum: gli aggressori hanno presentato una transazione fraudolenta come "bloccata" per incentivare un'accelerazione tramite RBF. Wallet multisignature (multisig) Un portafoglio multisignature (o "multisig") richiede diverse firme per autorizzare una transazione, il che rafforza la sicurezza distribuendo il…