Electrum lança versão 4.8.3 para corrigir falha crítica de roubo de BTC

A carteira Bitcoin Electrum, um dos clientes leves mais utilizados no mundo, publicou em 24 de outubro de 2026 uma atualização crítica (versão 4.8.3) para corrigir uma falha de segurança que permitia o roubo de bitcoins. Esta vulnerabilidade, classificada como "alta" pelos especialistas, expõe potencialmente os fundos de mais de um milhão de utilizadores, lembrando os riscos inerentes às soluções de software não custodiais num ecossistema onde a segurança continua a ser um desafio fundamental. Contexto A Electrum, desenvolvida desde 2011 por uma equipa sediada na Suíça, é uma carteira leve (SPV) que permite aos utilizadores gerir os seus bitcoins sem descarregar a totalidade da blockchain. Ao contrário das carteiras completas como o Bitcoin Core, a Electrum apoia-se em servidores de terceiros para validar as transações, uma abordagem que reduz as exigências técnicas, mas introduz dependências externas. De acordo com os dados da CryptoScore Pro a 25 de outubro de 2026, o software conta com cerca de 1,2 milhões de utilizadores ativos mensais, o que representa quase 0,03% dos endereços Bitcoin ativos. A falha corrigida insere-se num contexto de vigilância acrescida em torno das carteiras leves, cujas vulnerabilidades já foram exploradas no passado. Em 2023, um ataque semelhante visou utilizadores de carteiras móveis, resultando em perdas estimadas em vários milhões de dólares. Além disso, o mercado do Bitcoin, embora menos volátil do que em 2024, continua sensível a anúncios de segurança: o preço do BTC recuou 0,4% no dia da publicação da atualização, segundo os dados da CryptoScore Pro. Os factos A vulnerabilidade, identificada como um bug do tipo "man-in-the-middle", permitia que um servidor malicioso interceptasse as requisições dos utilizadores e substituísse o endereço de destino de uma transação por um endereço controlado pelo atacante. De acordo com o aviso de segurança oficial da Electrum, esta falha afetava todas as versões anteriores à 4.8.3, incluindo a 4.8.2, amplamente implementada na comunidade francófona. Datas e números chave : 24 de outubro de 2026: publicação da versão 4.8.3 para Windows, macOS e Linux, disponível em electrum.org . 11 e 18 de outubro de 2026: dois relatos de ataques explorando a falha, incluindo um que resultou na perda de fundos para um usuário. Pontuação CVSS superior a 7,0, qualificando a vulnerabilidade como de gravidade "alta". 1,2 milhão de usuários ativos mensais (fonte: CryptoScore Pro, dados de 25 de outubro de 2026). Mecanismo do ataque : Um servidor comprometido retinha uma transação legítima e a substituía por uma transação fraudulenta, exibida no histórico da carteira. Os endereços fraudulentos imitavam os quatro últimos caracteres do endereço do destinatário legítimo para enganar o usuário. A função Replace-by-Fee (RBF), que permite aumentar as taxas de uma transação, podia ser desviada para validar a transação fraudulenta. Resposta dos desenvolvedores : Thomas Vasquez, desenvolvedor principal do Electrum, recomendou uma atualização imediata e publicou um guia de migração no fórum oficial. A versão 4.8.3 introduz uma verificação de assinaturas de transações não confirmadas e uma autenticação mútua TLS para as conexões aos servidores. Os usuários conectados ao seu próprio servidor de confiança não estão expostos a esta falha. Nenhum incidente de perda massiva de fundos foi confirmado até o momento, mas os desenvolvedores ressaltam que a ausência de dados públicos sobre o número exato de usuários afetados limita a avaliação da exposição real. Além disso, um alerta de phishing visando usuários do Electrum foi relatado nas redes sociais, sem que sua ligação com a falha tenha sido estabelecida. Compreender as noções chave Carteira leve (SPV) Uma carteira leve, ou Simplified Payment Verification (SPV), é um software que permite gerir criptomoedas sem descarregar a totalidade da blockchain. Ao contrário de um nó completo, que armazena e verifica todas as transações desde a criação da rede, uma carteira SPV consulta servidores de terceiros para obter as informações necessárias (como saldos ou transações pendentes). Por exemplo, o Electrum utiliza este sistema para oferecer uma experiência de utilizador mais rápida e menos exigente em recursos. No entanto, esta abordagem baseia-se na confiança depositada nos servidores, o que pode expor os utilizadores a riscos de manipulação, como no caso da falha corrigida. Man-in-the-middle (MITM) Um ataque do tipo man-in-the-middle (MITM) consiste em um atacante interpor-se entre duas partes comunicantes (neste caso, um utilizador e um servidor Electrum) para interceptar, modificar ou redirecionar os dados trocados. No caso do Electrum, o atacante podia substituir o endereço de destino de uma transação pelo seu próprio, sem que o utilizador percebesse. Este tipo de ataque é particularmente perigoso em redes descentralizadas, onde a ausência de um terceiro de confiança centralizado torna a deteção de fraudes mais complexa. Um exemplo concreto seria um hacker interceptando uma transação de 1 BTC para um endereço legítimo e redirecionando-a para a sua própria carteira. Replace-by-Fee (RBF) A função Replace-by-Fee (RBF) é um mecanismo do protocolo Bitcoin que permite a um utilizador aumentar as taxas de uma transação não confirmada para acelerar o seu processamento pela rede. Por exemplo, se uma transação demorar demasiado tempo a ser validada devido a taxas demasiado baixas, o utilizador pode criar uma nova versão dessa transação com taxas mais elevadas, que substituirá a anterior. No entanto, esta função pode ser desviada: no caso da falha do Electrum, um atacante explorou o RBF para induzir o utilizador a assinar uma transação fraudulenta ao aumentar as taxas de uma falsa transação, validando assim o roubo dos fundos. Autenticação mútua TLS A autenticação mútua TLS (Transport Layer Security) é um protocolo de segurança que garante que ambas as partes de uma comunicação (neste caso, a carteira Electrum e o seu…