Puntos clave
- Bitcoin Core reveló esta semana tres vulnerabilidades previamente corregidas, una de las cuales podría interrumpir las operaciones de minería.
- El fallo más grave podría impedir que los nodos afectados generen plantillas de bloque válidas tras una reorganización de la blockchain.
- Aunque la configuración por defecto no se ve afectada, miles de nodos están en riesgo potencial debido a un defecto de configuración de Tor.
La vulnerabilidad más importante ha sido identificada como CVE-2025-62861 y afecta a las versiones 28.0 a 28.2 y 29.0 a 29.1 de Bitcoin Core. Se clasifica como de alta gravedad e involucra el procesamiento de transacciones durante reorganizaciones de blockchain, lo que podría impedir que los nodos mineros construyan plantillas de bloque válidas.
El núcleo del problema se encuentra en las transacciones de versión 3, comúnmente conocidas como transacciones TRUC, que operan bajo límites de mempool dedicados. Durante una reorganización, Bitcoin Core podría expulsar erróneamente transacciones al tiempo que mantiene aquellas que dependen de ellas, generando inconsistencias dentro de su mempool.
Para los mineros, estas consecuencias son especialmente problemáticas. Los nodos afectados pueden provocar errores en la validación de plantillas de bloque, lo que efectivamente les impide generar nuevos trabajos de minería hasta que se reinicien. Los equipos de minería podrían seguir haciendo hash sobre plantillas obsoletas, lo que supone renunciar a comisiones de transacción y empeorar la eficiencia operativa.
El investigador de seguridad Niklas Goegge informó del fallo el 26 de septiembre de 2025. El desarrollador Greg Sanders introdujo una corrección, la cual fue incorporada el 2 de octubre para evitar la expulsión problemática de transacciones durante reorganizaciones.
Esta corrección está presente en las versiones 30.0, 29.2 y 28.3 de Bitcoin Core, y continuará vigente hasta octubre de 2025. Sin embargo, alrededor del momento de la divulgación, aproximadamente el 9% de los nodos accesibles seguían usando versiones vulnerables.
La segunda vulnerabilidad, CVE-2025-62859, se considera de gravedad media y afecta a los bloques compactos maliciosamente construidos. Los atacantes pueden aprovechar una mala gestión de testigos de transacciones modificados para retrasar repetidamente la descarga de bloques. Bajo ciertas condiciones de red—incluyendo conexiones entre pares de alto ancho de banda y comprometidas—la interferencia podría durar indefinidamente.
El investigador Eugene Siegel identificó esta debilidad en abril de 2025. Gregory Sanders desarrolló la corrección, que ya está disponible en las versiones 30.0 y 29.2 de Bitcoin Core.
Por su parte, la CVE-2025-62860 expone un problema completamente diferente relacionado con las conexiones entrantes de Tor y privilegios de pares de confianza. Cuando el operador configura la opción -whitelist de Bitcoin Core para incluir la dirección de su demonio Tor, las conexiones entrantes podrían recibir de forma incorrecta privilegios reservados solo para pares de confianza.
Estas exenciones debilitan ciertas protecciones contra ataques de denegación de servicio y de privacidad. Bitcoin Core indica que miles de nodos accesibles en red principal podrían verse afectados, aunque la configuración estándar permanece segura.
El anuncio del 10 de noviembre sigue el plan de divulgación habitual de Bitcoin Core. Los desarrolladores reservaron detalles técnicos hasta el final de la vida útil de la última línea principal vulnerable, la 29.x, el 27 de octubre de 2026. A diferencia de las tres vulnerabilidades asistidas por IA reveladas el 28 de octubre, estos problemas siguieron el trámite tradicional de embargo.
Es importante destacar que ninguna de estas vulnerabilidades permitió el robo de bitcoins, la creación no autorizada de monedas ni fallos de consenso, y no hay informes de explotación. El fallo de minería requiere condiciones específicas de reorganización, lo que significa que sus consecuencias se limitan a los operadores afectados y no a Bitcoin en sí mismo.
Para mineros y administradores de nodos de Bitcoin, esta distinción es crucial. Incluso si las vulnerabilidades no ponen en riesgo los fondos, el mantenimiento del software sigue siendo clave. Este incidente demuestra que pequeños fallos en el procesamiento de transacciones pueden generar problemas operativos reales sin afectar el consenso fundamental de la red.
