{"id":833,"date":"2026-10-26T17:33:53","date_gmt":"2026-10-26T22:33:53","guid":{"rendered":"https:\/\/fluyez.com\/noticias\/?p=833"},"modified":"2026-10-26T17:33:53","modified_gmt":"2026-10-26T22:33:53","slug":"electrum-robo-btc-servidores","status":"publish","type":"post","link":"https:\/\/fluyez.com\/noticias\/electrum-robo-btc-servidores\/","title":{"rendered":"Electrum atribuye robo de BTC a falla explotada por servidores"},"content":{"rendered":"

El aviso de seguridad de Electrum en GitHub<\/a> indica que el proyecto public\u00f3 el 24 de octubre de 2026 la alerta GHSA-6jp4-8v48-cc5v, clasific\u00f3 la falla como de severidad alta y la vincul\u00f3 con al menos un caso de p\u00e9rdida de fondos reportado por usuarios. Seg\u00fan Electrum, el problema afectaba a las versiones anteriores a la 4.8.3 y se explotaba a trav\u00e9s de servidores maliciosos. La importancia pr\u00e1ctica es que el ataque no depend\u00eda de romper Bitcoin, sino de mostrar en el wallet una transacci\u00f3n no confirmada falsa y aprovechar una acci\u00f3n posterior del usuario. La versi\u00f3n que el proyecto se\u00f1ala como corregida es Electrum 4.8.3.<\/p>\n

Electrum dijo que recibi\u00f3 dos reportes de usuarios, el 11 y el 18 de octubre de 2026, y que en el segundo hubo p\u00e9rdida de fondos despu\u00e9s de usar la funci\u00f3n para aumentar la comisi\u00f3n. El proyecto tambi\u00e9n afirm\u00f3 que algunos servidores ya estaban ejecutando el ataque en el entorno real. Ni el aviso p\u00fablico divulg\u00f3 el monto robado, ni identific\u00f3 los servidores maliciosos, ni public\u00f3 los txid o las direcciones del atacante.<\/p>\n

Qu\u00e9 versiones estaban expuestas y qui\u00e9nes quedaban fuera<\/h2>\n

De acuerdo con Electrum en GitHub<\/a>, la vulnerabilidad alcanza a las versiones anteriores a la 4.8.3. Eso marca una diferencia clara entre el anuncio del problema y la disponibilidad de una correcci\u00f3n: el proyecto etiquet\u00f3 la versi\u00f3n 4.8.3 el 23 de octubre de 2026, public\u00f3 binarios el 24 de octubre y divulg\u00f3 la falla p\u00fablicamente ese mismo d\u00eda. En otras palabras, la actualizaci\u00f3n de seguridad ya hab\u00eda sido preparada cuando sali\u00f3 el aviso.<\/p>\n

El mismo aviso acota qui\u00e9nes no estaban dentro del riesgo descrito. Seg\u00fan Electrum, los usuarios conectados \u00fanicamente a servidores de confianza, incluido un servidor propio, no estaban afectados por este ataque. El punto importa porque la maniobra depend\u00eda de que un servidor malicioso pudiera intervenir en lo que el wallet mostraba sobre una transacci\u00f3n reciente.<\/p>\n

C\u00f3mo funcionaba la trampa con la transacci\u00f3n falsa<\/h2>\n

Electrum describe el ataque como una secuencia sobre una transacci\u00f3n reci\u00e9n emitida. Seg\u00fan su aviso de seguridad<\/a>, un servidor malicioso interceptaba esa transacci\u00f3n, la ocultaba y luego mostraba en el historial del wallet una transacci\u00f3n conflictiva inv\u00e1lida que reemplazaba la salida por una direcci\u00f3n del atacante. Para el usuario, el riesgo era que el historial local del monedero mostrara algo que parec\u00eda una operaci\u00f3n pendiente, aunque en realidad esa versi\u00f3n era falsa.<\/p>\n

La segunda parte del enga\u00f1o aparec\u00eda cuando el usuario aplicaba manualmente Replace-by-Fee, o RBF, un mecanismo que reemplaza una transacci\u00f3n no confirmada por otra con mayor comisi\u00f3n para intentar que se procese antes. Electrum dijo que, en esa situaci\u00f3n, el cliente pod\u00eda terminar firmando una transacci\u00f3n v\u00e1lida que s\u00ed pagaba al atacante. El problema, tal como lo cuenta el proyecto, no fue una filtraci\u00f3n de llaves privadas sino la posibilidad de inducir una firma sobre una versi\u00f3n distinta a la esperada.<\/p>\n

El aviso a\u00f1ade un detalle que vuelve m\u00e1s cre\u00edble la trampa a simple vista: en ambos reportes, la direcci\u00f3n del atacante hab\u00eda sido generada para coincidir en los \u00faltimos cuatro caracteres con la direcci\u00f3n leg\u00edtima. Por eso, revisar solo el final de una direcci\u00f3n no alcanzaba en estos casos. Si quieres repasar c\u00f3mo se componen estos destinos de pago, puede servir esta gu\u00eda sobre c\u00f3mo funciona una direcci\u00f3n de Bitcoin<\/a>.<\/p>\n

Qu\u00e9 cambi\u00f3 en Electrum 4.8.3<\/h2>\n

La correcci\u00f3n que Electrum atribuye al commit 90fe308 cambia la forma en que el cliente trata ciertas transacciones no confirmadas. Seg\u00fan el proyecto<\/a>, el cliente pasa a verificar las firmas de las entradas que pertenecen al propio wallet dentro de transacciones del mempool, la cola de operaciones que a\u00fan no entran en un bloque, antes de agregarlas al historial local. Esa validaci\u00f3n adicional apunta exactamente al punto que el ataque explotaba: la confianza en lo que el servidor mostraba antes de la confirmaci\u00f3n.<\/p>\n

Ese detalle t\u00e9cnico importa porque la interfaz del wallet se apoya en ese historial local para mostrar al usuario qu\u00e9 est\u00e1 pasando con su pago. Si una transacci\u00f3n no confirmada falsa logra entrar all\u00ed, la siguiente acci\u00f3n del usuario puede construirse sobre una base err\u00f3nea. Para entender mejor ese estado intermedio de las operaciones, aqu\u00ed puedes revisar qu\u00e9 es el mempool de transacciones de Bitcoin<\/a>.<\/p>\n

Los l\u00edmites del parche y la implicancia para usuarios de BTC<\/h2>\n

El propio aviso tambi\u00e9n limita el alcance de la soluci\u00f3n. Seg\u00fan Electrum<\/a>, incluso con el parche el cliente solo valida entradas marcadas como propias del wallet y no valida, por ejemplo, transacciones entrantes completas ni todos los padres no confirmados. Eso significa que la actualizaci\u00f3n corrige el vector descrito por el proyecto, pero no convierte al cliente en un verificador total de todo lo que ocurre antes de la confirmaci\u00f3n.<\/p>\n

Para usuarios de BTC, la consecuencia demostrable del caso es m\u00e1s concreta que amplia. El riesgo qued\u00f3 acotado por Electrum a versiones anteriores a 4.8.3 y a la interacci\u00f3n con servidores no confiables, no a una falla general de Bitcoin. Aun as\u00ed, el patr\u00f3n descrito por el proyecto deja una advertencia \u00fatil: antes de firmar una transacci\u00f3n o usar el aumento manual de comisi\u00f3n, conviene revisar la direcci\u00f3n completa y el monto, porque en los reportes analizados el atacante hab\u00eda preparado una direcci\u00f3n que coincid\u00eda en los cuatro caracteres finales con la leg\u00edtima.<\/p>\n

BTC en el mercado de Fluyez<\/h2>\n

Bitcoin (BTC)<\/a><\/strong> cotiza en 80,314.33 USD y sube 0.00 % en las \u00faltimas 24 horas, seg\u00fan los datos del propio mercado de Fluyez el 26 de octubre de 2026, 06:01 hora de Lima.<\/p>\n

En soles, eso equivale a 275,225.81 PEN por unidad.<\/p>\n

El dato verificado<\/h2>\n
    \n
  • Precio: 80,314.33 USD<\/li>\n
  • Variaci\u00f3n 24 horas: +0.00 %<\/li>\n
  • Equivalente: 275,225.81 PEN<\/li>\n
  • Datos del 26 de octubre de 2026, 06:01 hora de Lima<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"

    El proyecto clasific\u00f3 el problema como de severidad alta y lanz\u00f3 Electrum 4.8.3. Seg\u00fan su aviso, el riesgo afectaba a versiones anteriores cuando el usuario sub\u00eda la comisi\u00f3n de una transacci\u00f3n falsa.<\/p>\n","protected":false},"author":4,"featured_media":835,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_uag_custom_page_level_css":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"rank_math_title":"Electrum atribuye robo de BTC a falla explotada por servidores","rank_math_description":"Electrum inform\u00f3 una falla alta en versiones previas a 4.8.3 que pudo desviar BTC si un servidor malicioso induc\u00eda a subir la comisi\u00f3n manual.","rank_math_focus_keyword":"falla Electrum BTC","footnotes":""},"categories":[12],"tags":[],"class_list":["post-833","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-seguridad"],"acf":[],"uagb_featured_image_src":{"full":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115.jpg",1536,1024,false],"thumbnail":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115-150x150.jpg",150,150,true],"medium":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115-300x200.jpg",300,200,true],"medium_large":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115-768x512.jpg",768,512,true],"large":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115-1024x683.jpg",1024,683,true],"1536x1536":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115.jpg",1536,1024,false],"2048x2048":["https:\/\/fluyez.com\/noticias\/wp-content\/uploads\/2026\/10\/fluyez-btc-20261026-060115.jpg",1536,1024,false]},"uagb_author_info":{"display_name":"Luis Eduardo Berrospi","author_link":"https:\/\/fluyez.com\/noticias\/author\/luisberrospi\/"},"uagb_comment_info":0,"uagb_excerpt":"El proyecto clasific\u00f3 el problema como de severidad alta y lanz\u00f3 Electrum 4.8.3. Seg\u00fan su aviso, el riesgo afectaba a versiones anteriores cuando el usuario sub\u00eda la comisi\u00f3n de una transacci\u00f3n falsa.","_links":{"self":[{"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/posts\/833","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/comments?post=833"}],"version-history":[{"count":1,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/posts\/833\/revisions"}],"predecessor-version":[{"id":834,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/posts\/833\/revisions\/834"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/media\/835"}],"wp:attachment":[{"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/media?parent=833"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/categories?post=833"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fluyez.com\/noticias\/wp-json\/wp\/v2\/tags?post=833"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}