Electrum rilascia la versione 4.8.3 per correggere una vulnerabilità critica di furto di BTC

Il wallet Bitcoin Electrum, uno dei client leggeri più utilizzati al mondo, ha pubblicato il 24 ottobre 2026 un aggiornamento critico (versione 4.8.3) per correggere una falla di sicurezza che consentiva il furto di bitcoin. Questa vulnerabilità, classificata come "alta" dagli esperti, espone potenzialmente i fondi di oltre un milione di utenti, ricordando i rischi inerenti alle soluzioni software non custodiali in un ecosistema dove la sicurezza rimane una sfida principale. Electrum, sviluppato dal 2011 da un team con sede in Svizzera, è un wallet leggero (SPV) che permette agli utenti di gestire i propri bitcoin senza scaricare l'intera blockchain. A differenza dei wallet completi come Bitcoin Core, Electrum si appoggia a server di terze parti per validare le transazioni, un approccio che riduce i requisiti tecnici ma introduce dipendenze esterne. Secondo i dati di CryptoScore Pro al 25 ottobre 2026, il software conta circa 1,2 milioni di utenti attivi mensili, ovvero quasi lo 0,03% degli indirizzi Bitcoin attivi. La falla corretta si inserisce in un contesto di maggiore vigilanza attorno ai wallet leggeri, le cui vulnerabilità sono già state sfruttate in passato. Nel 2023, un attacco simile aveva preso di mira gli utenti di wallet mobili, causando perdite stimate in diversi milioni di dollari. Inoltre, il mercato del Bitcoin, sebbene meno volatile rispetto al 2024, rimane sensibile agli annunci di sicurezza: il prezzo del BTC è sceso dello 0,4% il giorno della pubblicazione dell'aggiornamento, secondo i dati di CryptoScore Pro. La vulnerabilità, identificata come un bug di tipo "man-in-the-middle", permetteva a un server malevolo di intercettare le richieste degli utenti e di sostituire l'indirizzo di destinazione di una transazione con un indirizzo controllato dall'attaccante. Secondo l'avviso di sicurezza ufficiale di Electrum, questa falla interessava tutte le versioni precedenti alla 4.8.3, inclusa la 4.8.2, ampiamente diffusa nella comunità francofona. Date e cifre chiave : 24 ottobre 2026: pubblicazione della versione 4.8.3 per Windows, macOS e Linux, disponibile su electrum.org . 11 e 18 ottobre 2026: due segnalazioni di attacchi che sfruttano la falla, di cui uno che ha comportato la perdita di fondi per un utente. Punteggio CVSS superiore a 7,0, che qualifica la vulnerabilità come di gravità «alta». 1,2 milioni di utenti attivi mensili (fonte: CryptoScore Pro, dati al 25 ottobre 2026). Meccanismo dell'attacco : Un server compromesso tratteneva una transazione legittima e la sostituiva con una transazione fraudolenta, visualizzata nella cronologia del portafoglio. Gli indirizzi fraudolenti imitavano gli ultimi quattro caratteri dell'indirizzo del destinatario legittimo per ingannare l'utente. La funzione Replace-by-Fee (RBF), che permette di aumentare le commissioni di una transazione, poteva essere deviata per convalidare la transazione fraudolenta. Risposta degli sviluppatori : Thomas Vasquez, sviluppatore principale di Electrum, ha raccomandato un aggiornamento immediato e ha pubblicato una guida alla migrazione sul forum ufficiale. La versione 4.8.3 introduce una verifica delle firme delle transazioni non confermate e un'autenticazione mutua TLS per le connessioni ai server. Gli utenti connessi al proprio server di fiducia non sono esposti a questa falla. Nessun incidente di perdita massiccia di fondi è stato confermato ad oggi, ma gli sviluppatori sottolineano che l'assenza di dati pubblici sul numero esatto di utenti colpiti limita la valutazione dell'esposizione reale. Inoltre, è stato segnalato sui social network un avviso di phishing che prende di mira gli utenti di Electrum, senza che ne sia stato stabilito il collegamento con la falla. Comprendere i concetti chiave Portafoglio leggero (SPV) Un wallet leggero, o Simplified Payment Verification (SPV), è un software che permette di gestire criptovalute senza scaricare l'intera blockchain. A differenza di un nodo completo, che memorizza e verifica tutte le transazioni dalla creazione della rete, un wallet SPV interroga server di terze parti per ottenere le informazioni necessarie (come i saldi o le transazioni in sospeso). Per esempio, Electrum utilizza questo sistema per offrire un'esperienza utente più rapida e meno esigente in termini di risorse. Tuttavia, questo approccio si basa sulla fiducia accordata ai server, il che può esporre gli utenti a rischi di manipolazione, come nel caso della vulnerabilità corretta. Man-in-the-middle (MITM) Un attacco di tipo man-in-the-middle (MITM) consiste nell'interposizione di un attaccante tra due parti comunicanti (in questo caso, un utente e un server Electrum) per intercettare, modificare o reindirizzare i dati scambiati. Nel caso di Electrum, l'attaccante poteva sostituire l'indirizzo di destinazione di una transazione con il proprio, senza che l'utente se ne accorgesse. Questo tipo di attacco è particolarmente pericoloso nelle reti decentralizzate, dove l'assenza di un terzo di fiducia centralizzato rende la rilevazione delle frodi più complessa. Un esempio concreto sarebbe un hacker che intercetta una transazione di 1 BTC verso un indirizzo legittimo e la reindirizza verso il proprio wallet. Replace-by-Fee (RBF) La funzione Replace-by-Fee (RBF) è un meccanismo del protocollo Bitcoin che permette a un utente di aumentare le commissioni di una transazione non confermata per accelerarne l'elaborazione da parte della rete. Per esempio, se una transazione impiega troppo tempo per essere validata a causa di commissioni troppo basse, l'utente può creare una nuova versione di tale transazione con commissioni più elevate, che sostituirà la precedente. Tuttavia, questa funzione può essere distorta: nel caso della vulnerabilità di Electrum, un attaccante ha sfruttato l'RBF per indurre l'utente a firmare una transazione fraudolenta aumentando le commissioni di una falsa transazione, validando così il furto dei fondi. Autenticazione mutua TLS L’ autenticazione mutua TLS (Transport…