Un fallo en el monedero de Bitcoin expuso a los usuarios de Electrum a robos
Un fallo en el monedero Bitcoin Electrum permitía que servidores maliciosos sustituyeran pagos pendientes por transacciones falsas. Los usuarios que intentaban acelerar esos pagos mediante Replace-by-Fee (RBF) podían firmar sin saberlo una transacción válida que enviaba sus bitcoins a un atacante. Electrum confirmó al menos un robo; no se han revelado ni el importe ni los servidores implicados.
El fallo afectaba a la forma en que Electrum verificaba las transacciones sin confirmar proporcionadas por servidores externos. Los atacantes podían hacer que un pago fraudulento pareciera estar pendiente y, en un caso denunciado, utilizaron una dirección de recepción cuyos cuatro últimos caracteres coincidían con los de la dirección prevista. El 24 de octubre, Electrum publicó la versión 4.8.3, que incorpora comprobaciones de firmas. Las versiones anteriores podrían seguir siendo vulnerables al conectarse a servidores maliciosos.
Los usuarios deben actualizar Electrum y comprobar las direcciones de pago y los importes antes de firmar. Los desarrolladores indicaron que quienes se conectaban únicamente a servidores de confianza, incluidos los suyos propios, no estaban expuestos. Este fallo del monedero Bitcoin supone un riesgo de seguridad para los usuarios afectados, pero no demuestra que haya un defecto en la red Bitcoin ni en sus reglas de consenso.
Neutral
La vulnerabilidad de Electrum constituye un grave problema de seguridad operativa para los usuarios de los monederos afectados, pero el artículo no señala ninguna debilidad en el protocolo de Bitcoin, sus reglas de consenso ni la liquidación en la red. El robo confirmado puede llevar a los usuarios afectados a actualizar el software, revisar las transacciones con más atención y replantearse en qué servidores de Electrum confían. Esto podría generar preocupación a corto plazo por la seguridad de los monederos, pero es probable que el efecto directo en la negociación de BTC, la liquidez y la estabilidad del mercado sea limitado.
En ocasiones, incidentes de seguridad anteriores relacionados con monederos y plataformas de intercambio han provocado breves reacciones de aversión al riesgo, sobre todo cuando las pérdidas han sido cuantiosas o el incidente ha suscitado dudas sobre la custodia en el conjunto del mercado. En este caso, se desconoce el importe de las pérdidas notificadas, y el fallo está relacionado con la forma en que Electrum gestiona las transacciones no confirmadas a través de servidores maliciosos. Electrum ha publicado la versión 4.8.3, que incorpora comprobaciones adicionales de firmas, y los usuarios conectados únicamente a servidores de confianza no estuvieron expuestos, lo que puede ayudar a limitar el impacto general.
Los operadores deben distinguir entre el riesgo del proveedor del monedero y el riesgo de la red Bitcoin. El sentimiento a corto plazo podría deteriorarse si se notifican nuevos robos o más usuarios afectados. A largo plazo, el incidente puede reforzar la demanda de actualizaciones de software, verificación mediante monederos físicos y uso de servidores de confianza o autogestionados, pero por sí solo no ofrece una señal clara sobre la dirección de los precios de BTC.