La cartera Bitcoin Electrum corrige una falla crítica que desviaba fondos a los atacantes

La billetera de Bitcoin Electrum parcheó una vulnerabilidad de alta gravedad este fin de semana que permitía a servidores maliciosos manipular transacciones de Bitcoin pendientes y redirigir fondos a direcciones controladas por el atacante. El fallo afecta a todas las versiones anteriores a la 4.8.3, que ya está disponible.

Al menos un usuario ha confirmado haber perdido dinero debido al exploit.

Electrum es una de las billeteras de software de Bitcoin más antiguas que existen. El ataque explota el modelo de confianza de la billetera para transacciones no confirmadas. Cuando un usuario difunde un pago a través de un servidor comprometido, el servidor puede suprimir la transacción real e inyectar una falsa que entra en conflicto, mostrando la dirección de salida del atacante y una comisión cero, haciendo que el pago parezca atascado.

Debido a que Electrum no verifica las firmas de las transacciones no confirmadas provenientes del servidor, la transacción falsificada aparece en el historial de la billetera como legítima.

Cuando el usuario aumenta la comisión de lo que parece ser un pago estancado, firma y difunde una transacción válida completamente nueva, cuya dirección de salida pertenece al atacante. El pago real nunca se envió; el aumento de comisión es la primera transacción que realmente llega a la red, y paga al atacante.

El desarrollador de Electrum SomberNight, quien publicó el aviso, señaló que los atacantes pueden generar repetidamente la dirección de salida de la transacción falsa hasta que coincida con los últimos cuatro caracteres del destino previsto por el usuario. Cualquiera que solo verifique superficialmente el final de una dirección Bitcoin larga vería una coincidencia aparente.

BitcoinBTC · USD

$80,358−1.93%

Oct 19Oct 21Oct 23Oct 24Oct 26

$84.8k$83.1k$81.3k$79.6k

24h HighHigh$80,724

24h LowLow$79,332

VolVol$1.2B

→

Comprar Bitcoin con USDT

Desarrollado por Jupiter

Datos de precios por CoinGeckoCoinGeckoMás noticias y proyecciones de Bitcoin →

El aviso indica que “algunos servidores están realizando este ataque en el entorno real”, respaldado por dos informes de usuarios. Un usuario identificado como dannydeezy señaló por primera vez el comportamiento sospechoso del servidor el 11 de octubre; la transacción manipulada nunca se propagó más allá del servidor local, por lo que no se perdieron fondos. Un segundo usuario, Raju-K12, informó de una pérdida confirmada el 18 de octubre después de aumentar la comisión de una transacción manipulada.

El parche en 4.8.3 cierra la principal superficie de ataque al verificar las firmas criptográficas en las entradas propiedad de la billetera antes de añadir cualquier transacción no confirmada al historial local. Un servidor ya no puede inyectar una transacción falsa que toque las direcciones del propio usuario sin proporcionar firmas válidas, que el atacante no puede falsificar. La corrección se etiquetó en el repositorio el 23 de octubre y los binarios se publicaron al día siguiente.

Las transacciones entrantes de remitentes externos, en las que ninguna de las entradas pertenece a la billetera del usuario, todavía se aceptan sin verificación de firma. SomberNight reconoció esta laguna en el aviso, señalando que requeriría trabajo adicional cerrarla.

Esta no es la primera vez que Electrum se enfrenta a esto y ha lidiado con ataques maliciosos en el pasado. Una campaña de 2018 utilizó servidores fraudulentos para enviar notificaciones de actualización falsas, y para 2020 había drenado unos 25 millones de dólares estimados de los usuarios de Electrum. El modelo de servidor abierto de Electrum, cualquiera puede ejecutar un nodo, es lo que hace posible este tipo de ataque.

Los usuarios que se conectan exclusivamente a un servidor que ellos mismos ejecutan no se ven afectados. Cualquiera que no pueda actualizar de inmediato debe verificar manualmente las direcciones de salida y los montos antes de firmar cualquier transacción; Electrum 4.8.3 está disponible en electrum.org junto con el Github del proyecto.