01 /
Qué ha pasado: un fallo de Electrum que ya ha costado dinero
Electrum, la wallet de bitcoin de código abierto que mucha gente usa en el ordenador, sola o con una wallet física, etiquetó el viernes 23 de octubre la versión 4.8.3 como «actualización de seguridad». El sábado 24 publicó los instaladores y el aviso GHSA-6jp4-8v48-cc5v, de gravedad alta, que afecta a todas las versiones anteriores.
Lo grave no es el fallo, que nace de una decisión de diseño conocida, sino que alguien ha aprendido a sacarle dinero: según el aviso, «algunos servidores están haciendo este ataque en la práctica». Hubo dos denuncias y una víctima perdió dinero. Y hay más motivos para no esperar: las notas de la versión agradecen avisos de cuatro personas, aunque solo se ha publicado un fallo.
02 /
Cómo funciona el ataque, paso a paso
No hace falta que te roben la semilla. Basta con que tu Electrum esté conectado a un servidor malicioso, y por defecto elige servidores públicos. Así lo describe el aviso:
- 01
Envías bitcoin
Electrum firma tu transacción y se la entrega a su servidor para que la difunda a la red.
- 02
El servidor se la queda
Un servidor malicioso no la reenvía: en el primer caso denunciado, nunca llegó a la red.
- 03
Te enseña otra
En tu historial aparece una transacción sin confirmar que gasta las mismas monedas y manda casi todo a una dirección del atacante, fabricada para que sus cuatro últimos caracteres coincidan con los de tu destino. Para disimular, devuelve una pizca a una de tus direcciones, como si fuera el cambio.
- 04
Con comisión cero
La falsa ni siquiera es válida, porque sus firmas no cuadran, pero Electrum no lo comprobaba. Y con comisión cero, parece atascada.
- 05
Tú la desatascas
Si pulsas «Aumentar comisión» (RBF), Electrum firma una transacción nueva, esta vez válida, con los destinos de la falsa. Le acabas de pagar al atacante con tu propia firma.
El primer usuario tenía una multifirma con dos Trezor y comprobó el destino en las dos pantallas: su envío era correcto. El peligro llega después, con la falsa. El segundo le subió la comisión y perdió el dinero.
03 /
Por qué funcionaba: Electrum se fía de su servidor
Electrum es una wallet ligera: no descarga la cadena de bloques entera, sino que pregunta a servidores públicos por tus direcciones. De las transacciones minadas no se fía: comprueba con una prueba criptográfica (SPV) que están en un bloque. De las que esperan en la mempool, la sala de espera de la red, sí. Su documentación lo reconoce:
En resumen, no del todo. El cliente de Electrum nunca envía las claves privadas a los servidores […]. Las transacciones confirmadas se verifican con SPV. Sobre las transacciones sin confirmar, se confía en el servidor. El servidor puede mentir por omisión.
La 4.8.3 cierra la puerta principal: comprueba las firmas de las entradas que son tuyas antes de meter una transacción sin confirmar en tu historial. Pero los pagos que te llegan de otros siguen sin validarse, así que un cobro sin confirmar puede seguir siendo falso. Quien usa un servidor de confianza, como el suyo propio, no estaba expuesto.
04 /
¿Te afecta? Quién está expuesto y quién no
05 /
Qué hacer ahora: actualiza y comprueba lo que firmas
- 01
Descarga la 4.8.3 solo de electrum.org
En el ordenador, desde la página oficial; en Android, desde Google Play o con el APK de esa web, porque F-Droid aún tenía la 4.8.2. Nunca desde un enlace que te llegue por correo, anuncio o chat.
- 02
Comprueba la firma del instalador
Los firman cinco desarrolladores por separado y se comprueban con GPG y sus claves públicas, como explica su guía. Si no sabes hacerlo, al menos escribe tú la dirección de la web.
- 03
Mira qué versión tienes
En Electrum, menú Ayuda y luego Acerca de. Si pone 4.8.2 o menos, no envíes nada hasta actualizar.
- 04
Si ves un envío que no reconoces, no lo toques
No le subas la comisión. Mira en un explorador como mempool.space si tu envío real llegó a la red y cambia de servidor desde el icono de red.
- 05
Un cobro no es tuyo hasta que se confirma
Si te pagan, espera a las confirmaciones antes de entregar lo vendido.
06 /
Bitcoin Core cambia sus reglas porque la IA encuentra fallos
La otra noticia viene del programa que mueve la mayoría de los nodos. El 22 de octubre, Bitcoin Core aprobó un cambio en su política de seguridad propuesto por el desarrollador Antoine Poinsot, que lo explica así:
Últimamente hemos visto aumentar los avisos de vulnerabilidades que se pueden descubrir (o redescubrir) con facilidad. Se debe en gran parte a que los LLM rebajan de forma drástica el listón para encontrar ciertos tipos de fallos o identificar arreglos encubiertos.
Lo de los arreglos encubiertos es la clave. Para dar tiempo a actualizar, Bitcoin Core arreglaba los fallos importantes en silencio, dentro de la siguiente versión grande, y no los contaba hasta un año después. Pero una IA puede leer los cambios de una versión y señalar cuál tapa un agujero: el secreto ya no protege y solo retrasa el parche.
Hubo debate. Antoine Riard propuso conservar la opción de no dar detalles y mantener el embargo; Poinsot respondió que avisar de un fallo sin detalles crea riesgo sin necesidad. Salió adelante con el visto bueno de cuatro revisores.
No es exagerado. En 2024, Big Sleep, el agente de Google, encontró un fallo explotable en SQLite. En febrero de 2026, Anthropic contó que su modelo Claude Opus 4.6 había validado más de 500 vulnerabilidades graves en código abierto, y en abril, que Claude Mythos Preview había encontrado miles. Lo que sirve para defender sirve para atacar, y también para inundar de avisos falsos: curl cerró en enero su programa de recompensas, harto de informes basura hechos con IA.
07 /
Los nodos que no se actualizan: lo que he contado
La regla solo sirve si la gente actualiza, y la propuesta reconoce una «cultura de actualización lenta». He contado las versiones de los 11.627 nodos públicos que veía Bitnodes a las 03:57 del 25 de octubre, hora de Madrid: 9.638 se anuncian como Bitcoin Core, 1.906 como Bitcoin Knots, una variante con sus propias versiones, y 83 como otros programas.
Casi uno de cada tres nodos de Bitcoin Core, el 30,6 %, usa una versión que ya no recibe arreglos de seguridad, y solo el 44,2 % está en la última de su rama (31.1, 30.3 o 29.4). Los parches llegarán antes, pero solo a las ramas con soporte. Y cuando salga la 32.0, ya firmada pero sin publicar, la 29 se quedará sin soporte, y con ella otro 9 % de los nodos.
08 /
Qué significa para ti: wallet física, exchange y tu propio servidor
Si solo tienes cripto en un exchange, este fallo no te toca. Si usas Electrum u otra wallet ligera, la lección va más allá de esta versión: lo que ves en el ordenador puede ser mentira; lo que cuenta es lo que firmas.
Una wallet física no impide el ataque, pero te da la última oportunidad de verlo, en una pantalla que el ordenador no controla. Electrum funciona con Ledger y con Trezor, y la guía de Ledger para usarlo lo resume: verifica en el dispositivo el importe, la dirección y las comisiones. La que recomiendo es Ledger, desde 59 euros el Nano S Plus en la tienda oficial de Ledger (octubre de 2026), enlace de afiliado. Cómprala solo ahí: este mes Ledger confirmó un implante espía en carteras de un revendedor del sudeste asiático, y la marca sufrió filtraciones de datos de clientes en 2020 y en enero de 2026, sin semillas expuestas.
Para comprar el bitcoin que luego llevas a tu wallet, el exchange que uso es OKX, a través de su filial europea, con licencia MiCA de Malta y autorizada en España desde el 27 de noviembre de 2025. Si te encaja, puedes abrir tu cuenta en OKX con mi enlace, que es de afiliado. Con sus sombras: en febrero de 2025 se declaró culpable en Estados Unidos de operar sin licencia de transmisor de dinero y aceptó pagar más de 504 millones de dólares, y en abril de 2025 Malta multó a su filial europea por fallos antiblanqueo. Lo cuento todo en mi opinión sobre OKX.
La solución de fondo es conectar Electrum a un servidor tuyo, con Bitcoin Core y Electrum Personal Server, electrs o Fulcrum, justo el caso que el aviso deja fuera de peligro. Si estás empezando, te basta con la 4.8.3 y mirar lo que firmas. Cómo encaja cada wallet lo tienes en wallet fría o caliente y en mi guía de wallets calientes, de la que va el vídeo de la cabecera.
09 /
Lo que todavía no se sabe
- Cuántas víctimas hay y cuánto se ha robado. El aviso habla de dos denuncias y una pérdida, sin cifra.
- Qué servidores lo hacen. No se han publicado: cambiar de servidor no basta; la defensa es la 4.8.3 y mirar lo que firmas.
- Si otras wallets tienen un fallo parecido. Las que usan servidores Electrum no habían dicho nada a 25 de octubre, lo que no prueba ni que sean vulnerables ni que estén a salvo.
- Cuándo llegará la primera versión urgente de Bitcoin Core con la regla nueva. La política no nombra ningún fallo concreto.
- Y no es asesoramiento técnico: es mi lectura de los avisos oficiales.
Y si te interesa usar la IA a tu favor sin que te la cuele, lo conté en IA para invertir en criptomonedas.
