El 24 de octubre de 2026, Electrum anunció una nueva versión de su software de código abierto. Según el comunicado, el cambio principal es el arreglo de una vulnerabilidad grave, cuya descripción será publicada más adelante. Asimismo, mencionan que Windows Defender puede mostrar una advertencia sobre el archivo ZXing.dll, incluído en la instalación de Electrum.

New release: Electrum 4.8.3. This release fixes a critical security issue, so we urge all users to upgrade. A description of the vulnerability will be published later today. (note: Windows Defender may show a warning about ZXing.dll, ignore that, it is a false positive)
— Electrum (@ElectrumWallet) October 24, 2026

La popular wallet de escritorio y servidor personal ya había lanzado una importante actualización de seguridad, la 4.8.1, el 12 de agosto pasado, como informamos en este medio, en un contexto de inseguridad digital generalizado debido al avance de los modelos de IA. Como en ese entonces y siguiendo la nueva tendencia del software libre respecto a la seguridad, decidieron demorar la publicación de los detalles técnicos de la falla para no poner en riesgo a los usuarios y darles tiempo de actualizar.

Publicidad

¿Cuál es el riesgo que se corrigió con esta actualización?

Aun sin conocer los detalles de la vulnerabilidad, las notas de la versión 4.8.3 dan indicios del fallo que se corrigió. En ellas, figura el cambio de seguridad: «(gravedad alta) Un servidor malicioso puede reemplazar una transacción recién transmitida e intentar engañar al usuario para que la acelere mediante RBF». Con un enlace a un hilo de GitHub reportando la falla.

En el hilo de seguridad, que lleva el nombre GHSA-6jp4-8v48-cc5v, se explica en qué consiste ese fallo. Electrum es una wallet liviana, lo que significa que no descarga ella misma los bloques de Bitcoin, sino que recibe el estado actual de un servidor externo llamado Servidor Electrum. Este Servidor Electrum intermedia entre un nodo completo y una wallet, creando un índice de las transacciones y facilitando el seguimiento de los saldos de algunas direcciones consultadas por la wallet que se conecta.

La wallet Electrum puede conectarse automáticamente a servidores Electrum públicos o configurarse manualmente para apuntar a uno en particular. El conectarse a un servidor externo de por si ya representa un riesgo de privacidad, dado que el servidor puede conocer las direcciones de una misma wallet y la dirección IP desde la que se conecta una wallet. Por eso, es recomendable usar un nodo y servidor Electrum propios para maximizar la seguridad.

Ahora bien, lo que reportaron con GHSA-6jp4-8v48-cc5v es que el servidor Electrum podría engañar al usuario y desviar sus pagos hacia otra dirección. Como el servidor Electrum al que se conecta el cliente es el encargado de gestionar las transacciones de la mempool (“no confirmadas”), éste puede explotar esa posición en 5 pasos:

Publicidad

Cuando el cliente transmite una nueva transacción tx1, un servidor malicioso puede interceptarla y

actualizar el historial del cliente con una transacción conflictiva (no válida) tx2 que reemplaza las salidas por la dirección de salida del atacante.

La transacción tx2 tiene firmas inválidas, pero esto no se verifica (debido al diseño del cliente ligero).

La billetera mostrará la transacción tx2 como una transacción no confirmada; la transacción tx1 no se mostrará.

Si luego el cliente aumenta manualmente la tarifa de la transacción tx2 mediante RBF, la firmará con una tarifa más alta y, por lo tanto, pagará al atacante.

Es decir, el servidor atacante puede sustituir una transacción válida del usuario por una inválida hacia su propia dirección y luego engañar al usuario para que la acelere con RBF, volviéndola válida. El ataque requiere varias cosas para llevarse a cabo:

Que la víctima esté conectada a un servidor de Electrum malicioso con Electrum 4.8.2 o previa

Que la víctima decida acelerar la transacción maliciosa con RBF

Por lo tanto, usuarios que utilicen un Servidor Electrum propio estarían a salvo de este ataque, pero aquellos que dependan de un servidor ajeno deben estar alerta. La falla es la misma que fue reportada en Cake Wallet también el día de hoy.

Por último, el archivo ZXing.dll del que dicen que da un falso positivo puede encontrarse dentro de la instalación de Electrum en Windows, en el directorio «_internal». Su fecha de creación es 11/11/2000 y su descripción indica que está relacionada con códigos de barras.

Las notas de la versión hacen referencia a un cambio en la lectura de códigos de barra: «Novedad: escaneo de códigos de barras con QtMultimedia y el reconocimiento de códigos QR de zxing-cpp (#10955)». El número de PR nos lleva al hilo en el que se discute el cambio, que parece orientado más a Android que a Windows y no tiene mención del falso positivo. El autor de esta nota analizó el archivo ZXing.dll con Windows Defender v1.461.181.0 (24/10/2026) y no encontró amenaza alguna.

Publicidad

Electrum corrige un fallo de seguridad crítico en su versión 4.8.3