Electrum 4.8.3 corrige falha explorada em roubo de bitcoins
Um servidor Electrum malicioso podia substituir uma transação recém-transmitida por outra que desviava os bitcoins e induzir o usuário a assiná-la ao aumentar a taxa (Replace-By-Fee). A falha, de gravidade alta, foi explorada e um usuário relatou perda de fundos aos desenvolvedores. A versão 4.8.3 corrige o problema; atualize imediatamente, baixe apenas de electrum.org e confira o endereço de destino antes de assinar.
O que aconteceu
A carteira Bitcoin Electrum lançou a versão 4.8.3 para corrigir uma falha crítica. Um servidor malicioso podia trocar uma transação do usuário por outra que desviava os fundos e levar o usuário a autorizar o roubo ao tentar aumentar a taxa. Um usuário perdeu dinheiro, segundo os desenvolvedores.
Por que importa
Todas as versões anteriores à 4.8.3 são afetadas. O roubo usa uma assinatura válida da própria vítima, disfarçada de simples aumento de taxa, e os endereços do atacante imitam o final do endereço original, dificultando a percepção. Quem usa servidores públicos do Electrum está exposto.
O que fazer
Atualize a carteira para a versão 4.8.3 imediatamente, baixando apenas de electrum.org e verificando a assinatura do arquivo. Antes de atualizar, confira o endereço de destino e o valor antes de qualquer assinatura, inclusive em aumentos de taxa. O alerta do Windows Defender sobre ZXing.dll nesta versão é falso positivo, segundo o Electrum.
Para o time técnico
- Afetados
- Electrum Bitcoin wallet · Electrum < 4.8.3 (todas as versões anteriores à 4.8.3, conforme advisory GHSA-6jp4-8v48-cc5v).
- Exploração
- Exploração relatada por Bitcoin.com News e The Defiant, com roubo de fundos. dannydeezy reportou substituição de transação em 11 de outubro de 2026, sem compreensão total do mecanismo de aumento de taxa; Raju-K12 reportou perda de fundos em 18 de outubro de 2026 após aprovar aumento de taxa, confirmando que o ataque era real.
- Correção
- Atualizar para Electrum 4.8.3, lançada em 23 de outubro de 2026 segundo as notas de versão. O commit 90fe308 passa a exigir verificação de assinaturas de transações não confirmadas que gastam moedas da carteira; transações com assinatura inválida são rejeitadas antes de entrar no histórico local. Baixar apenas de electrum.org e verificar as assinaturas criptográficas. Mitigação antes de atualizar: conferir endereço de destino e valor antes de assinar, inclusive em aumentos de taxa; conectar apenas a servidores próprios confiáveis elimina a exposição a este ataque.
- Vetor
- Carteira Electrum em versão anterior a 4.8.3 conectada a um servidor malicioso. Versões antigas aceitavam certas transações não confirmadas sem verificar assinaturas: o servidor interceptava o pagamento, impedia a transmissão e o substituía por uma transação fraudulenta com assinaturas inválidas, exibida como pagamento pendente comum. Ao aumentar a taxa via RBF, a vítima assinava a transação substituta e autorizava a transferência para o atacante. Endereços do atacante repetiam os quatro últimos caracteres do destino original; uma transação fraudulenta usava taxa zero, aparentemente para incentivar a vítima a aumentar a taxa.
- Mais detalhes
- Advisory GHSA-6jp4-8v48-cc5v, gravidade alta. A versão 4.8.3 também inclui correções de segurança não divulgadas creditadas a tokenistq e Amadeus29. A conta oficial do Electrum no X confirmou em 26 de outubro de 2026 que a versão corrige a falha crítica e pediu atualização imediata a todos os usuários.
Linha do tempo
A conta oficial do Electrum confirma que a versão 4.8.3 corrige uma falha crítica e pede que todos os usuários atualizem imediatamente.
Incidente aberto.
Fontes 4 fontes
- GHSA-6jp4-8v48-cc5v: Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it spesmilo/electrum
- Electrum release notes (4.8.3 security update) spesmilo/electrum
- Electrum Wallet Attack Hid Bitcoin Theft Behind a Fee Increase Bitcoin.com News
- Electrum Patches Wallet Flaw Exploited Through Malicious Servers The Defiant
- @ElectrumWallet @ElectrumWallet
