Electrum ha rilasciato il 24 ottobre 2026 la versione 4.8.3, che corregge un attacco tramite server malevolo. Nelle versioni precedenti, aumentare manualmente le commissioni di una transazione alterata può portare il wallet a firmare un pagamento all’attaccante. L’attacco è già stato sfruttato.
Come viene sostituito il pagamento
Electrum usa un server principale per trasmettere i pagamenti e sincronizzare lo storico. La gestione delle transazioni non confermate si basa sulla fiducia in quel server. Il client non gli invia le chiavi private.
Un server malevolo può trattenere il pagamento originale e mostrare nello storico una transazione con destinazione modificata. Le firme sono invalide, ma il wallet la visualizza come non confermata. Quando l’utente ne aumenta manualmente le commissioni tramite Replace-by-Fee, o RBF, il client firma il pagamento all’attaccante.
La procedura ordinaria per aumentare le commissioni parte dalla transazione nello storico: l’utente seleziona l’opzione dedicata, imposta la commissione e conferma. Compare quindi una transazione da firmare e trasmettere. La firma è il passaggio che autorizza il nuovo pagamento.
Quali casi sono emersi
Sono arrivate due segnalazioni: un utente ha notato la sostituzione; l’altro ha perso fondi dopo l’aumento delle commissioni. Entrambi hanno segnalato indirizzi dell’attaccante con gli ultimi quattro caratteri uguali alla destinazione legittima.
Cosa cambia con la versione 4.8.3
La correzione interessa le versioni precedenti alla 4.8.3. Il wallet ora verifica le firme degli input appartenenti al portafoglio prima di aggiungere le transazioni non confermate allo storico. Il controllo non comprende le transazioni in entrata.
I client collegati a server fidati, per esempio gestiti dagli stessi utenti, non sono interessati dall’attacco.
Le criptovalute sono strumenti ad alto rischio e molto volatili: il loro valore può azzerarsi. Questo articolo ha solo scopo informativo e non è una consulenza finanziaria né un invito a investire.
