Electrum es una billetera de Bitcoin que se conecta a servidores externos para obtener el historial de transacciones. Electrum verifica las transacciones mediante verificación de pago simple (Simple Payment Verification). La billetera confiaba en esta función en su servidor principal al mostrar transacciones pendientes.
Los atacantes interceptaban transacciones a través de servidores maliciosos antes de que la información llegara a la red de Bitcoin. Al desactivar la visualización de la transacción legítima, los criminales podían reemplazarla, insertando su propia dirección en lugar de la dirección del destinatario. A pesar de que la transacción falsificada contenía firmas inválidas, las versiones vulnerables de Electrum no las verificaban antes de mostrar la transacción en el historial de la billetera.
El riesgo surgía cuando los usuarios intentaban aumentar la tarifa de transacción mediante la función Replace-by-Fee (RBF), que permite reemplazar un pago no confirmado con otro que tenga una tarifa más alta. Al confirmar el ajuste de la tarifa, los usuarios podían firmar una transacción válida a favor del atacante.
Los desarrolladores confirmaron dos casos de robo de activos criptográficos. El 11 de octubre, el propietario de la billetera bajo el seudónimo dannydeezy informó que una transacción mostrada en el historial de Electrum no coincidía con el pago originalmente enviado. Otro usuario anónimo, Raju-K12, notificó a los desarrolladores el 18 de octubre que había perdido fondos al intentar aumentar la tarifa de la transacción. En su caso, la transacción fraudulenta tenía una tarifa cero, lo que, según el equipo de Electrum, se hizo para que la víctima iniciara ella misma el aumento de la tarifa.
La vulnerabilidad afectó todas las versiones de Electrum hasta la 4.8.3. Los desarrolladores no especificaron la cantidad de fondos robados, el número de servidores involucrados en el ataque ni el número de víctimas. El equipo de la billetera criptográfica lanzó una corrección, incorporándola en la versión 4.8.3 el 23 de octubre. Los archivos binarios descargables estuvieron disponibles el 24 de octubre. Los desarrolladores implementaron la verificación de firma para transacciones no confirmadas y aclararon que la actualización no convierte a Electrum en un nodo completo de Bitcoin. Esto significa que las transacciones no confirmadas entrantes siguen fuera del alcance de las nuevas verificaciones de firma, mientras que los pagos confirmados continúan sometiéndose a los procedimientos anteriores de verificación.
Users of earlier wallet versions are advised to download the update from the official Electrum website. Those who cannot update quickly should verify full recipient addresses and amounts before signing transactions, including fee replacements. Users connecting only to trusted servers, including their own, are not vulnerable to this attack.
Recientemente, los expertos de Symantec Threat Hunter descubrieron una nueva versión del infostealer Aoki (Aokigahara), un programa que roba archivos de sesiones de asistentes de IA, cookies y datos de billeteras criptográficas. Los hackers utilizan las claves API robadas para acceder a repositorios y servicios en la nube relacionados.