{"id":6304,"date":"2026-10-24T18:03:12","date_gmt":"2026-10-24T18:03:12","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/"},"modified":"2026-10-24T18:03:12","modified_gmt":"2026-10-24T18:03:12","slug":"electrum-4-8-3-falla-server-malevoli","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/","title":{"rendered":"Electrum 4.8.3: Server Malevoli Possono Sostituire la Transazione"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\"><strong>Electrum<\/strong>, wallet Bitcoin per desktop e mobile, ha rilasciato la versione <strong>4.8.3<\/strong> (taggata il 23 ottobre 2026, con binari e divulgazione pubblica il 24) per correggere una falla di gravit\u00e0 alta: un server malevolo pu\u00f2 sostituire una transazione appena inviata con una falsa. Secondo l&#8217;<a href=\"https:\/\/github.com\/spesmilo\/electrum\/security\/advisories\/GHSA-6jp4-8v48-cc5v\" target=\"_blank\" rel=\"noopener\">avviso di sicurezza GHSA-6jp4-8v48-cc5v<\/a>, alcuni server sfruttano gi\u00e0 il difetto &#8220;in the wild&#8221; (cio\u00e8 in attacchi reali) e un utente ha perso fondi. Chi usa Electrum con server di terzi dovrebbe aggiornare.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">I dettagli provengono dall&#8217;avviso GHSA-6jp4-8v48-cc5v e dalle note di rilascio della 4.8.3; la notizia \u00e8 stata ripresa anche da <a href=\"https:\/\/thedefiant.io\/news\/security\/electrum-patches-wallet-flaw-exploited-through-malicious-servers\" target=\"_blank\" rel=\"nofollow noopener\">The Defiant<\/a>.<\/p>\n\n\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/#Electrum_483_cosa_succede_con_il_server_malevolo\" >Electrum 4.8.3: cosa succede con il server malevolo<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/#I_due_casi_segnalati_agli_sviluppatori\" >I due casi segnalati agli sviluppatori<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/#Come_funziona_la_correzione_e_chi_non_e_a_rischio\" >Come funziona la correzione e chi non \u00e8 a rischio<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/#Cosa_aspettarsi\" >Cosa aspettarsi<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/electrum-4-8-3-falla-server-malevoli\/#Domande_frequenti\" >Domande frequenti<\/a><\/li><\/ul><\/nav><\/div>\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Electrum_483_cosa_succede_con_il_server_malevolo\"><\/span>Electrum 4.8.3: cosa succede con il server malevolo<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il meccanismo, descritto dagli sviluppatori nell&#8217;<a href=\"https:\/\/github.com\/spesmilo\/electrum\/security\/advisories\/GHSA-6jp4-8v48-cc5v\" target=\"_blank\" rel=\"noopener\">avviso di sicurezza degli sviluppatori<\/a>, ha quattro passaggi. Quando il client trasmette una nuova transazione (tx1), un server malevolo pu\u00f2 trattenerla e aggiornare la cronologia del wallet con una transazione in conflitto (tx2), che sostituisce le uscite con l&#8217;indirizzo dell&#8217;attaccante. Le firme di tx2 non sono valide, ma il client non le controlla, perch\u00e9 \u00e8 un client leggero. Il wallet mostra tx2 come transazione non confermata e tx1 sparisce. Se l&#8217;utente aumenta a mano la commissione di tx2 con la funzione RBF (replace-by-fee, la sostituzione con commissione pi\u00f9 alta), il wallet la firma davvero e il denaro va all&#8217;attaccante.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gli sviluppatori precisano che il software si fida del server principale per le transazioni non confermate, come scritto nella <a href=\"https:\/\/electrum.readthedocs.io\/en\/latest\/faq.html#does-electrum-trust-servers\" target=\"_blank\" rel=\"noopener\">documentazione ufficiale di Electrum<\/a>: le transazioni confermate sono verificate con SPV (verifica semplificata dei pagamenti), mentre per quelle non confermate il server \u00e8 considerato affidabile. In sintesi, Electrum non si fida davvero dei server, ma su quel punto s\u00ec. La novit\u00e0, scrivono, \u00e8 che qualcuno ha trovato un modo pratico per sfruttare questo limite.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"I_due_casi_segnalati_agli_sviluppatori\"><\/span>I due casi segnalati agli sviluppatori<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il <a href=\"https:\/\/github.com\/spesmilo\/electrum\/security\/advisories\/GHSA-6jp4-8v48-cc5v\" target=\"_blank\" rel=\"noopener\">avviso di sicurezza degli sviluppatori<\/a> riporta due segnalazioni. Il primo utente, dannydeezy, ha scritto l&#8217;11 ottobre dopo aver notato che nella cronologia compariva una transazione diversa da quella inviata. Il suo wallet era un multisig 2 di 3 legacy P2SH con due Trezor e 31 input: l&#8217;utente aveva controllato le uscite su entrambi i dispositivi e poi premuto &#8220;Broadcast&#8221;. La cronologia ha mostrato l&#8217;intero importo come non confermato verso un indirizzo sconosciuto, poi la voce \u00e8 passata a &#8220;Local&#8221;. La transazione reale, secondo il report, non \u00e8 mai arrivata in mempool ed \u00e8 ancora valida e non trasmessa.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Il secondo utente, Raju-K12, ha segnalato il 18 ottobre di aver perso denaro dopo aver aumentato la commissione di tx2. Nell&#8217;avviso non \u00e8 indicato l&#8217;importo. Dalla ricostruzione degli sviluppatori il server aveva creato una tx2 a commissione zero, probabilmente sperando proprio in quel rilancio. In entrambi i casi l&#8217;indirizzo dell&#8217;attaccante era stato &#8220;macinato&#8221; (generato per tentativi) in modo da coincidere con gli ultimi quattro caratteri di quello legittimo: nel report del primo utente entrambi finiscono con GyQ3.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nel caso del multisig, secondo il report, la transazione falsa aveva gli stessi input, versione e locktime dell&#8217;originale, con scriptSig identici byte per byte. Le 62 firme verificano contro la transazione vera e nessuna contro quella falsa: un dato coerente con la scelta degli sviluppatori di aggiungere la verifica delle firme per gli input del wallet.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Elemento<\/th><th>Dato<\/th><th>Fonte<\/th><\/tr><\/thead><tbody>\n<tr><td>Versioni vulnerabili<\/td><td>precedenti alla 4.8.3<\/td><td>Avviso GitHub<\/td><\/tr>\n<tr><td>Gravit\u00e0<\/td><td>alta (sev-high)<\/td><td>Note di rilascio<\/td><\/tr>\n<tr><td>Segnalazione utente 1<\/td><td>11 ottobre 2026 (transazione reale non propagata, ancora valida)<\/td><td>Avviso GitHub<\/td><\/tr>\n<tr><td>Segnalazione utente 2<\/td><td>18 ottobre 2026 (fondi persi)<\/td><td>Avviso GitHub<\/td><\/tr>\n<tr><td>Tag della correzione<\/td><td>23 ottobre 2026<\/td><td>Avviso GitHub<\/td><\/tr>\n<tr><td>Binari e divulgazione pubblica<\/td><td>24 ottobre 2026<\/td><td>Avviso GitHub<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Come_funziona_la_correzione_e_chi_non_e_a_rischio\"><\/span>Come funziona la correzione e chi non \u00e8 a rischio<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La correzione \u00e8 nel <a href=\"https:\/\/github.com\/spesmilo\/electrum\/commit\/90fe30822561e515a9d2d6e5a352cc07780999eb\" target=\"_blank\" rel=\"noopener\">commit 90fe308<\/a>, incluso nella 4.8.3. Secondo l&#8217;avviso, il client ora verifica le firme degli input che appartengono al wallet (<code>is_mine<\/code>) per le transazioni in mempool, prima di aggiungerle alla cronologia locale. Le <a href=\"https:\/\/raw.githubusercontent.com\/spesmilo\/electrum\/master\/RELEASE-NOTES\" target=\"_blank\" rel=\"noopener\">note di rilascio di Electrum 4.8.3<\/a> classificano il problema come &#8220;sev-high&#8221; e indicano come titolo: &#8220;Malicious server can replace a just-broadcast tx and try to trick user into RBF-ing it&#8221;.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gli sviluppatori dichiarano che i client collegati a server di cui si fidano, per esempio uno gestito in proprio, non sono interessati. Ammettono anche un limite residuo: anche dopo la patch vengono validati solo gli input del wallet, quindi le transazioni in entrata non sono controllate, perch\u00e9 il client non ha un motore di consenso completo n\u00e9 un interprete di script e dovrebbe comunque validare ricorsivamente le transazioni genitrici non confermate fino a quelle minate.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La timeline dell&#8217;avviso indica la correzione taggata il 23 ottobre e binari e divulgazione pubblica il 24 ottobre. Per chi non pu\u00f2 aggiornare subito, il workaround indicato \u00e8 controllare indirizzi e importi di destinazione prima di firmare qualsiasi transazione, anche per un semplice rilancio di commissione. Il tema richiama altri incidenti di sicurezza dei wallet gi\u00e0 trattati da BitcoinLive24, come <a href=\"https:\/\/bitcoinlive24.com\/news\/ledger-trezor-impianti-wallet-rivenditori\/\">Ledger e Trezor, impianti nei wallet<\/a> e <a href=\"https:\/\/bitcoinlive24.com\/news\/truffatore-truffato-60-bitcoin-ledger\/\">60 Bitcoin persi nei Ledger manomessi<\/a>, e il lavoro sulle falle descritto in <a href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-policy-sicurezza-bug-ia\/\">la nuova policy di sicurezza di Bitcoin Core<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_aspettarsi\"><\/span>Cosa aspettarsi<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Gli sviluppatori invitano a installare la 4.8.3 e ad aggiornare regolarmente. Resta da vedere quanti server malevoli siano attivi: l&#8217;avviso parla soltanto di &#8220;alcuni server&#8221; senza numeri. Per chi custodisce Bitcoin con un wallet leggero, l&#8217;episodio ricorda che la sicurezza dipende anche da chi gestisce il server a cui ci si collega.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_frequenti\"><\/span>Domande frequenti<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Chi \u00e8 colpito dalla falla di Electrum?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le versioni di Electrum precedenti alla 4.8.3 collegate a un server non fidato, secondo l&#8217;<a href=\"https:\/\/github.com\/spesmilo\/electrum\/security\/advisories\/GHSA-6jp4-8v48-cc5v\" target=\"_blank\" rel=\"noopener\">avviso di sicurezza degli sviluppatori<\/a>. I client che si connettono a server propri o fidati non sono interessati.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Come proteggersi?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Aggiornare alla 4.8.3 e controllare sempre indirizzi e importi prima di firmare, anche nei rilanci di commissione, come indicato dagli sviluppatori nell&#8217;<a href=\"https:\/\/github.com\/spesmilo\/electrum\/security\/advisories\/GHSA-6jp4-8v48-cc5v\" target=\"_blank\" rel=\"noopener\">avviso di sicurezza degli sviluppatori<\/a>.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Le chiavi private sono state rubate?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">L&#8217;avviso non riporta furti di chiavi: descrive un inganno sulla firma di una transazione. La <a href=\"https:\/\/electrum.readthedocs.io\/en\/latest\/faq.html#does-electrum-trust-servers\" target=\"_blank\" rel=\"noopener\">documentazione ufficiale di Electrum<\/a> precisa che il client non invia mai le chiavi private ai server.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Informazione di cronaca tecnica, non consulenza finanziaria.<\/em> <a href=\"https:\/\/bitcoinlive24.com\">Scarica l&#8217;app BitcoinLive24<\/a> per ricevere avvisi sulle notizie che contano.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Electrum, wallet Bitcoin per desktop e mobile, ha rilasciato la versione 4.8.3 (taggata il 23 ottobre 2026, con binari e divulgazione pubblica il 24) per&#8230;<\/p>\n","protected":false},"author":4,"featured_media":6042,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[608],"tags":[],"class_list":["post-6304","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novita"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6304","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=6304"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6304\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/6042"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=6304"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=6304"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=6304"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}