Puntos Clave de la Noticia
- Fallo de seguridad: Electrum reveló una vulnerabilidad que permitía a servidores maliciosos reemplazar transacciones pendientes por otras fraudulentas, exponiendo a los usuarios a posibles robos.
- La trampa del aumento de comisión: Los atacantes aprovecharon la función Replace-by-Fee de Bitcoin, haciendo que los usuarios que incrementaban las comisiones de transacción autorizaran sin saberlo pagos a direcciones controladas por los atacantes.
- Parche disponible: Electrum corrigió el problema en la versión 4.8.3 y aconseja a los usuarios actualizar de inmediato, verificar las direcciones con atención y confiar únicamente en servidores seguros.
Una falla de seguridad en la wallet Electrum permitía a servidores maliciosos engañar a los usuarios para que autorizaran pagos que, en última instancia, desviaban los fondos hacia los atacantes. Los desarrolladores confirmaron que al menos un usuario perdió dinero tras lo que parecía un intento rutinario de acelerar una transacción pendiente, lo que motivó el lanzamiento urgente de una actualización de software.
Cómo funcionaba la vulnerabilidad
El problema afectaba la forma en que Electrum gestionaba las transacciones de Bitcoin no confirmadas. A diferencia de un nodo completo de Bitcoin, Electrum depende de servidores externos para consultar el historial de transacciones y transmitir los pagos. Antes de la actualización de seguridad, la wallet confiaba en que dichos servidores reportaban las transacciones pendientes sin verificar previamente sus firmas.
Según el informe de la vulnerabilidad, los atacantes que controlaban un servidor malicioso podían interceptar un pago de Bitcoin antes de que llegara a la red y reemplazarlo por una transacción fraudulenta en el historial de la wallet. La transacción falsa aparentaba gastar las monedas del usuario hacia una dirección bajo el control del atacante, a pesar de contener firmas no válidas. Dado que la wallet no detectaba esas firmas no válidas, la transferencia fraudulenta figuraba como una transacción de Bitcoin pendiente del todo legítima. El ataque se volvía especialmente peligroso cuando los usuarios intentaban acelerar el proceso de pago.
Replace-by-Fee convertido en un vector de ataque
La vulnerabilidad aprovechó la función Replace-by-Fee (RBF), una característica de Bitcoin que permite reemplazar transacciones no confirmadas por nuevas versiones que incluyen comisiones más altas. Cuando un usuario decidía subir la comisión de lo que parecía ser una transacción de Bitcoin atascada, Electrum tomaba la transacción fraudulenta inyectada previamente y firmaba un reemplazo válido. Como resultado, el Bitcoin del usuario terminaba redirigiéndose a una dirección controlada por el atacante.
En uno de los incidentes reportados, la transacción maliciosa no incluía comisión alguna, lo que la hacía parecer atascada y aumentaba la probabilidad de que el usuario intentara un aumento de comisión. Los atacantes también generaban direcciones de destino que coincidían en los últimos cuatro caracteres, haciendo que el pago de Bitcoin alterado fuera más difícil de detectar durante una revisión rápida.
Reportes, solución y recomendaciones para los usuarios
El primer reporte fue presentado el 11 de octubre por un usuario que operaba una wallet de Bitcoin de multifirma de dos de tres, resguardada con dos dispositivos físicos Trezor. Aunque el usuario detectó una transacción saliente sospechosa, no reportó pérdidas financieras. Un segundo usuario informó el 18 de octubre que había aumentado la comisión en una transacción de Bitcoin suplantada y había perdido sus fondos. Los desarrolladores no han revelado el monto robado ni han identificado los servidores maliciosos involucrados.
Electrum respondió lanzando la versión 4.8.3 el 24 de octubre. La actualización añade verificaciones de firma para las transacciones no confirmadas que gastan monedas de la wallet del usuario. Quienes utilicen versiones anteriores siguen siendo vulnerables si se conectan a servidores maliciosos. Los desarrolladores recomiendan actualizar de inmediato y verificar minuciosamente las direcciones y los montos de pago antes de firmar cualquier transacción de Bitcoin. Los usuarios conectados únicamente a servidores de confianza, incluidos los suyos propios, no se vieron afectados.
