Una vulnerabilità di sicurezza in Electrum, il noto wallet per Bitcoin, potrebbe consentire a server malevoli di manipolare la cronologia delle transazioni non confermate e indurre gli utenti a inviare fondi agli attaccanti. Il problema, classificato ad alta gravità, riguarda tutte le versioni precedenti alla 4.8.3, che include la correzione ufficiale.
Come funziona l’attacco
Secondo l’avviso di sicurezza pubblicato il 24 ottobre 2026, un server Electrum compromesso può intercettare una transazione Bitcoin appena trasmessa, impedendone la corretta propagazione, e mostrare nel wallet una seconda transazione in conflitto con quella originale.
La transazione contraffatta contiene un indirizzo di destinazione controllato dall’attaccante e firme non valide, che il client vulnerabile non verifica adeguatamente in questa fase. Di conseguenza, l’utente potrebbe visualizzare nella cronologia una transazione non confermata diversa da quella effettivamente creata.
Il rischio diventa concreto quando l’utente utilizza la funzione Replace-by-Fee (RBF) per aumentare la commissione della transazione. Se decide di incrementare la fee della transazione manipolata, il wallet può firmarla applicando una commissione più elevata, trasformando l’operazione in un pagamento a favore dell’aggressore.
Segnalati casi reali di sfruttamento
Gli sviluppatori hanno confermato di aver ricevuto due segnalazioni relative all’attacco. Nel secondo caso, un utente avrebbe perso denaro dopo aver aumentato la commissione della transazione contraffatta.
Le segnalazioni indicano inoltre che gli indirizzi degli aggressori sarebbero stati generati per condividere gli ultimi quattro caratteri con quelli delle destinazioni legittime, rendendo più difficile individuare la manipolazione con un controllo superficiale. In uno dei casi, la transazione fraudolenta sarebbe stata creata senza commissioni, probabilmente per spingere la vittima a utilizzare RBF.
Electrum 4.8.3 corregge la vulnerabilità
La falla è stata corretta nella versione Electrum 4.8.3, pubblicata il 24 ottobre 2026. L’intervento introduce una verifica delle firme degli input appartenenti al wallet prima che le transazioni non confermate vengano aggiunte alla cronologia locale.
Gli sviluppatori raccomandano di aggiornare il software all’ultima versione disponibile. Chi non può effettuare subito l’aggiornamento dovrebbe controllare attentamente gli indirizzi di destinazione e gli importi prima di firmare qualsiasi transazione, comprese quelle per le quali intende soltanto aumentare le commissioni.
Gli utenti che si collegano esclusivamente a server di fiducia, ad esempio gestendone uno in autonomia, non risultano esposti a questo specifico attacco.
La correzione non equivale comunque a una verifica completa di tutte le transazioni non confermate: Electrum continua a basarsi su un’architettura leggera e non implementa un motore completo di consenso Bitcoin. Per questo motivo, mantenere il wallet aggiornato e verificare i dettagli delle operazioni resta fondamentale per la sicurezza dei fondi.
Fonte: avviso di sicurezza GHSA-6jp4-8v48-cc5v, pubblicato il 24 ottobre 2026.