Pessoal,
Foi divulgada em 24 de outubro de 2026 uma vulnerabilidade de alta gravidade na carteira Bitcoin Electrum, que afeta todas as versões anteriores à 4.8.3.
O problema é particularmente preocupante porque já existem relatos de exploração real, incluindo pelo menos um caso confirmado de perda de bitcoins.
Como funciona o ataque?
A vulnerabilidade está relacionada à confiança que a Electrum deposita nos servidores aos quais se conecta para obter informações sobre transações ainda não confirmadas.
Um servidor malicioso pode:
1. Interceptar uma transação legítima enviada pelo usuário, impedindo sua propagação pela rede Bitcoin.
2. Substituir a transação exibida no histórico da carteira por outra, fraudulenta, direcionando os bitcoins para um endereço controlado pelo atacante.
3. Fazer a transação falsa aparecer como não confirmada, mesmo contendo assinaturas inválidas.
4. Induzir o usuário a utilizar o recurso **Replace-by-Fee (RBF)** para aumentar a taxa de mineração.
5. Caso o usuário confirme a operação sem verificar os dados, a carteira poderá assinar uma transação válida que envia os bitcoins ao atacante.
Um detalhe importante: nos casos relatados, os criminosos utilizaram endereços que possuíam os mesmos quatro caracteres finais dos endereços legítimos, dificultando a identificação da fraude por usuários que verificam apenas o início ou o final do endereço.
A vulnerabilidade já foi explorada?
Sim. Segundo os desenvolvedores, foram recebidos dois relatos:
- 11/10/2026: um usuário identificou uma transação diferente daquela que havia enviado.
- 18/10/2026: outro usuário relatou perda de fundos após utilizar o recurso de aumento de taxa (RBF).
Os desenvolvedores também confirmaram que existem servidores realizando esse ataque na prática.
Como se proteger?
A correção foi disponibilizada na versão **Electrum 4.8.3**, lançada em 24/10/2026.
Recomendações:
- Atualize imediatamente para a versão 4.8.3 ou superior.
- Faça o download exclusivamente pelo site oficial:
https://electrum.org- Verifique o endereço completo do destinatário e os valores antes de assinar qualquer transação.
- Tenha atenção especial ao utilizar o recurso RBF.
- Sempre que possível, utilize um servidor Electrum próprio e confiável.
- Verifique a assinatura GPG do instalador baixado.
**Importante:** essa vulnerabilidade não significa que as seeds ou chaves privadas tenham sido comprometidas. O ataque depende da manipulação de transações não confirmadas e da assinatura de uma transação fraudulenta pelo usuário.
A correção adiciona uma verificação das assinaturas dos inputs pertencentes à carteira antes de aceitar determinadas transações não confirmadas em seu histórico.
Referências oficiais:
Comunicado de segurança dos desenvolvedores:
https://github.com/spesmilo/electrum/security/advisories/GHSA-6jp4-8v48-cc5vCódigo da correção:
https://github.com/spesmilo/electrum/commit/90fe30822561e515a9d2d6e5a352cc07780999ebSite oficial:
https://electrum.orgFica o alerta para quem utiliza a Electrum, principalmente para quem costuma realizar transações com RBF.
Mesmo utilizando hardware wallets, é fundamental conferir os dados completos da transação antes de confirmar a assinatura no dispositivo.
Quem ainda utiliza versões anteriores à 4.8.3 deveria priorizar a atualização.
