Puntos clave
- Bitcoin Core reveló esta semana tres vulnerabilidades previamente corregidas, una de las cuales podría interrumpir operaciones de minería.
- El defecto más severo podría impedir que los nodos afectados generen plantillas de bloques válidas después de una reorganización de la blockchain.
- Aunque la instalación por defecto no se ve afectada, miles de nodos enfrentan el riesgo potencial de una configuración defectuosa de Tor.
La vulnerabilidad más importante fue identificada como CVE-2025-62861, y afecta a Bitcoin Core versiones 28.0 hasta 28.2 y de la 29.0 a la 29.1. Esta falla está clasificada como de alta severidad, relacionada con el manejo de transacciones durante reorganizaciones de la blockchain, y podría impedir que nodos de minería construyan plantillas de bloques válidas.
En su núcleo están las transacciones de versión 3, comúnmente llamadas transacciones TRUC, que se ejecutan bajo límites dedicados de mempool. Durante una reorganización de cadena, Bitcoin Core podría expulsar erróneamente ciertas transacciones mientras retiene otras transacciones dependientes, creando inconsistencias en su mempool.
Las consecuencias para los mineros son especialmente problemáticas. Los nodos afectados pueden provocar fallos en la validación de plantillas de bloque, bloqueando efectivamente la generación de nuevo trabajo de minería hasta que se reinicien. Los equipos de minería podrían continuar haciendo hashing sobre plantillas obsoletas, lo que resultaría en la pérdida de comisiones y una menor eficiencia operativa.
El investigador de seguridad Niklas Goegge reportó la falla el 26 de septiembre de 2025. El desarrollador Greg Sanders incorporó una corrección, que fue fusionada el 2 de octubre, evitando la expulsión problemática de transacciones durante reorganizaciones.
La corrección se implementó en los softwares Bitcoin Core 30.0, 29.2 y 28.3, y estará vigente hasta octubre de 2025. No obstante, en la fecha de divulgación, alrededor del 9% de los nodos accesibles aún usaban versiones vulnerables.
La segunda vulnerabilidad, CVE-2025-62859, tiene una gravedad media y se refiere a bloques compactos manipulados maliciosamente. Un atacante podría explotar el manejo incorrecto de transacciones modificadas, retrasando repetidamente la descarga de bloques. Bajo ciertas condiciones de red, incluyendo conexiones de pares de alto ancho de banda comprometidas, la interferencia podría continuar indefinidamente.
El investigador Eugene Siegel identificó esta debilidad en abril de 2025. Gregory Sanders desarrolló una corrección que llegó a las versiones 30.0 y 29.2 de Bitcoin Core.
Por su parte, CVE-2025-62860 expuso un problema completamente diferente, relacionado con conexiones entrantes de Tor y privilegios de pares confiables. Cuando los operadores configuran la opción -whitelist de Bitcoin Core para incluir la dirección de su proceso Tor, las conexiones entrantes podrían heredar privilegios que estaban destinados solo para pares previamente autorizados.
Estas exenciones debilitan algunas protecciones contra ataques de denegación de servicio y salvaguardas de privacidad. Bitcoin Core indicó que miles de nodos accesibles en la red principal podrían verse afectados, aunque la configuración estándar sigue siendo segura.
El anuncio del 10 de noviembre sigue el plan de divulgación establecido por Bitcoin Core. Los desarrolladores retuvieron detalles técnicos hasta que la última versión principal vulnerable 29.x llegue al final de su ciclo de vida (27 de octubre de 2026). A diferencia de las tres vulnerabilidades asistidas por IA divulgadas el 28 de octubre, estos problemas siguieron el proceso tradicional de restricción previa.
Lo importante es que ninguna de estas vulnerabilidades permitió robo de Bitcoin, creación no autorizada de monedas o fallos en el consenso, y no se han reportado exploits. El defecto de minería requiere condiciones de reorganización específicas, por lo que sus consecuencias quedan limitadas a los operadores afectados y no al propio Bitcoin.
Para mineros y administradores de nodos de Bitcoin, esta distinción es relevante. Incluso si la vulnerabilidad no pone en riesgo fondos, el mantenimiento del software sigue siendo esencial. Este incidente evidencia que fallas aparentemente menores en el manejo de transacciones pueden provocar problemas operativos reales, sin amenazar el consenso fundamental de la red.
