Electrum

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 24 ott 2026 Hack / furto di fondi Grave ● aperto

   Server malevoli sostituiscono una transazione appena inviata e inducono l'utente a «velocizzarla» verso l'indirizzo dell'attaccante: attacco sfruttato in rete, falla corretta nella 4.8.3

   Il 24 ottobre 2026 gli sviluppatori di Electrum hanno pubblicato la versione 4.8.3 e un avviso di sicurezza di gravità alta sul repository ufficiale del progetto, dichiarando che alcuni server della rete stanno già sfruttando la falla. La falla sta nel client: per le transazioni non ancora confermate il wallet si fida di ciò che gli manda il server e, fino alla 4.8.2, non ne verificava le firme. Un server malevolo può così trattenere la transazione appena inviata dall'utente e mostrargliene al suo posto una falsa, con commissione a zero e l'uscita verso un indirizzo dell'attaccante. Se l'utente prova a velocizzarla aumentando la commissione (RBF), il wallet firma davvero il pagamento all'attaccante. L'avviso riporta almeno un utente che ha perso fondi in questo modo; numero di vittime, importo complessivo e numero di server coinvolti non sono stati resi noti. Le versioni dalla 4.8.3 verificano le firme degli input del proprio wallet; chi si collega solo a un server di fiducia, ad esempio il proprio, non è esposto. Electrum è software libero senza custodia: non esiste un rimborso.

   ↗ fonte
2. 26 dic 2018 Hack / furto di fondi Grave ✓ risolto

   Server malevoli sfruttavano una falla del client per mostrare finti messaggi di aggiornamento e far installare malware: centinaia di bitcoin sottratti, falla corretta nella versione 3.3.3

   Electrum è un wallet leggero: non scarica la blockchain, si collega a server della rete pubblica ElectrumX. Fino alla versione 3.3.3 il client mostrava i messaggi d'errore ricevuti dal server come testo formattato, senza filtrarli — comportamento predefinito di Qt. Un attaccante ha allora messo in rete un gran numero di server malevoli su intervalli di indirizzi IP diversi, per aumentare la probabilità che i client vi si collegassero: quando l'utente provava a inviare una transazione, il server rispondeva con un finto messaggio d'errore che invitava a scaricare un «aggiornamento» di Electrum. Quel file era malware, e chi lo installava si faceva svuotare il wallet. La falla è documentata dagli sviluppatori stessi nella segnalazione aperta il 26 dicembre 2018 sul repository ufficiale del progetto, ed è stata chiusa con la versione 3.3.3; dalla 3.3.4 i messaggi dei server non vengono più mostrati come testo formattato. Un'analisi indipendente stimò che al culmine gli attaccanti controllassero circa il 70% dei server della rete. Sulle cifre le fonti divergono e nessuna è ufficiale: si va dalle oltre 200 BTC delle prime ricostruzioni alle oltre 771 BTC attribuite all'intera serie di attacchi, protrattasi per mesi nel 2019 — per questo qui non è indicato alcun importo. Gli utenti colpiti non sono stati rimborsati: Electrum è software libero senza custodia dei fondi, non esiste un intermediario a cui chiedere il rimborso. Il caso è chiuso nel senso che la vulnerabilità è stata corretta da anni, non nel senso che qualcuno abbia recuperato il maltolto.

   ↗ fonte

verificato il 28 ott 2026