Il 23 ottobre 2026, nelle note di rilascio della versione 4.8.3, Electrum ha dichiarato che l'aggiornamento corregge una vulnerabilità relativa a un attacco da server malevolo: un aggressore avrebbe potuto sostituire una transazione appena trasmessa e cercare di indurre l'utente a effettuare un'operazione Replace-by-Fee. Per gli utenti, la questione immediata è se stessero usando una versione precedente del wallet durante un pagamento in uscita ancora in attesa, successivamente accelerato.

Cosa corregge ufficialmente Electrum 4.8.3

Nelle note di rilascio su GitHub, Electrum definisce la versione 4.8.3 un aggiornamento di sicurezza e descrive la minaccia in termini specifici: “Un server malevolo può sostituire una transazione appena trasmessa e cercare di indurre l'utente a eseguire un RBF”. Si tratta della più chiara dichiarazione ufficiale sull'evento e risulta più precisa di un'etichetta generica come reindirizzamento del pagamento.

In pratica, il testo delle note di rilascio indica un attacco a una transazione già inviata ma ancora in attesa di conferma. Il rischio non era il semplice invio di Bitcoin tramite Electrum, bensì la possibilità di essere spinti a creare una transazione sostitutiva dopo che il pagamento originario era già stato trasmesso.

Perché l'attacco poteva funzionare sulle transazioni in attesa

La documentazione di Electrum afferma che il wallet si fida del server per le transazioni non confermate, mentre quelle confermate vengono verificate tramite SPV. Questo confine di fiducia documentato aiuta a spiegare perché un server malevolo potesse incidere prima della conferma del pagamento originario.

La stessa documentazione precisa inoltre che Electrum mantiene normalmente connessioni con circa 10 server e ne seleziona uno come server principale. Ciò non significa che ogni connessione a un server comporti lo stesso rischio in qualsiasi flusso operativo, ma mostra perché le informazioni fornite dal server su un pagamento in attesa possano influenzare ciò che il wallet presenta all'utente prima della conferma.

Quali utenti dovrebbero verificare ora la propria esposizione

Il principale gruppo di utenti che, secondo quanto riportato, dovrebbe effettuare verifiche comprende chi utilizzava una versione precedente alla 4.8.3, aveva una transazione in uscita non confermata e ha poi cercato di aumentarne la commissione. Il dettaglio sulle versioni coinvolte e gli incidenti reali segnalati provengono da crypto.news, non dalle note di rilascio di Electrum esaminate; vanno quindi considerati come informazioni giornalistiche aggiornate, non come una definizione ufficiale dell'ambito delle versioni interessate.

I controlli immediati sono semplici. Anzitutto, verificare che il wallet utilizzi già la versione 4.8.3 o una successiva. In secondo luogo, riesaminare qualsiasi recente pagamento Bitcoin in uscita ancora in attesa quando si è tentato di accelerarlo con Replace-by-Fee e confrontare indirizzo di destinazione completo e importo prima di approvare una transazione sostitutiva. È la verifica autonoma più pratica supportata dalla descrizione ufficiale di Electrum del vettore d'attacco e dalla sua documentazione sulle transazioni non confermate.

crypto.news ha inoltre riferito che i binari scaricabili della versione 4.8.3 sono diventati disponibili il 24 ottobre 2026, dopo la pubblicazione delle note di rilascio del 23 ottobre 2026. Questo aiuta a spiegare l'avvio della copertura pubblica, ma è un elemento distinto dalla data delle note di rilascio ufficiali di Electrum esaminate.