Atualização do Electrum corrige ataque que permitia roubo de Bitcoin com ‘fee bump’
Versão 4.8.3 valida assinaturas de transações pendentes após ao menos um caso confirmado de perda de fundos quando usuários aprovaram aumento de taxa.
Pesquisadores e desenvolvedores do Electrum corrigiram uma falha explorada por servidores maliciosos que interceptavam pagamentos saindo da carteira. Os servidores apresentavam aos usuários transações não confirmadas falsas, com endereços parecidos com os reais, e aguardavam que a vítima usasse Replace‑by‑Fee (aumentar a taxa) — assim o usuário assinava uma substituição que, na prática, pagava o atacante.
A correção foi liberada na versão 4.8.3, publicada em 24 de outubro de 2026. Ela fecha esse vetor específico ao verificar as assinaturas de transações não confirmadas que gastam as moedas do dono da carteira, rejeitando transações de saída falsas com assinaturas inválidas antes que entrem no histórico da carteira (commit 90fe308).
Os desenvolvedores receberam dois relatos privados do ataque, incluindo um em 18 de outubro de 2026 em que um usuário perdeu fundos depois de aprovar um fee bump. Eles confirmaram ao menos um roubo real, mas não divulgaram o total perdido nem quantos servidores maliciosos participaram.
A correção não valida transações não confirmadas de entrada e não transforma o Electrum em um nó completo — ela fecha só o caminho que permitia a substituição maliciosa.
Recomendações para usuários: atualizar apenas a partir de electrum.org e verificar as assinaturas de download; sempre conferir o endereço completo e os valores de destino (não só os caracteres finais) antes de assinar ou aumentar taxas; e, quando possível, usar servidores confiáveis ou hospedar o próprio servidor Electrum para reduzir a exposição.