El aviso de seguridad oficial de Electrum del 24 de octubre es muy claro: ya hay servidores maliciosos que usan este método para robar criptomonedas en entornos reales. Dos usuarios lo han denunciado; uno de ellos pulsó para acelerar la transacción y el dinero fue directamente a parar a manos del atacante.
#Electrum corrige una vulnerabilidad crítica en las versiones anteriores a la 4.8.3
El método es bastante rastrero: el servidor intercepta la transferencia que acabas de difundir y la sustituye en tu cartera por una transacción falsa con la dirección de destino modificada. Incluso hace que los últimos cuatro dígitos de la dirección falsa coincidan con los de la original, y fija la comisión en cero, para que, cuando te impacientes, pulses para acelerarla mediante RBF.
Al acelerarla, es como si volvieras a firmar con tus propias manos esa transacción falsa, y las criptomonedas acaban en manos del atacante.
A partir de la versión 4.8.3 se comprueba la firma de las transacciones salientes propias. Recuerda descargar la actualización únicamente desde electrum.org; hasta que actualices, cada vez que firmes una transacción —también al acelerarla— comprueba la dirección completa y el importe.
Mi impresión personal es que muchos usuarios veteranos suelen comprobar solo los últimos dígitos de la dirección al hacer una transferencia. Esta vez, los estafadores han puesto el foco precisamente en esos dígitos.
#Electrum corrige una vulnerabilidad crítica en las versiones anteriores a la 4.8.3
El método es bastante rastrero: el servidor intercepta la transferencia que acabas de difundir y la sustituye en tu cartera por una transacción falsa con la dirección de destino modificada. Incluso hace que los últimos cuatro dígitos de la dirección falsa coincidan con los de la original, y fija la comisión en cero, para que, cuando te impacientes, pulses para acelerarla mediante RBF.
Al acelerarla, es como si volvieras a firmar con tus propias manos esa transacción falsa, y las criptomonedas acaban en manos del atacante.
A partir de la versión 4.8.3 se comprueba la firma de las transacciones salientes propias. Recuerda descargar la actualización únicamente desde electrum.org; hasta que actualices, cada vez que firmes una transacción —también al acelerarla— comprueba la dirección completa y el importe.
Mi impresión personal es que muchos usuarios veteranos suelen comprobar solo los últimos dígitos de la dirección al hacer una transferencia. Esta vez, los estafadores han puesto el foco precisamente en esos dígitos.