Puntos Clave de la Noticia
- Divulgación de seguridad: Los mantenedores del software de Bitcoin Core revelaron tres vulnerabilidades reportadas durante 2025 y corregidas posteriormente en octubre de 2025.
- Riesgo para la minería: Un fallo de alta severidad generaba incoherencias en el mempool al eliminar transacciones sin borrar sus descendientes vinculados.
- Impacto en la red: Dos problemas de severidad media involucraban retrasos en el procesamiento de bloques y permisos de lista blanca no intencionados para algunas conexiones de Tor.
Bitcoin Core divulgó públicamente tres vulnerabilidades de seguridad previamente corregidas, entre las que se incluye un fallo de alta severidad capaz de impedir que algunos nodos mineros crearan plantillas de bloques válidas. Los problemas se reportaron originalmente en 2025 y sus parches se lanzaron en octubre de ese mismo año. Desde Bitcoin Core señalaron que las vulnerabilidades presentaban distintos niveles de gravedad, pero todas conllevaban posibles consecuencias operativas para los operadores de nodos y los mineros.
Un fallo de alta severidad provocaba incoherencias en el mempool
El problema más grave, registrado bajo la etiqueta CVE-2025-62861, afectaba a las versiones 28.0 a 28.2 y 29.0 a 29.1 de Bitcoin Core. La vulnerabilidad fue reportada por Niklas Goegge el 26 de septiembre de 2025. De acuerdo con Bitcoin Core, las reglas de gestión de transacciones continuaban aplicándose después de que determinadas transacciones regresaran al mempool tras una reorganización de la cadena.
Como resultado, una transacción podía ser eliminada sin que se borraran sus descendientes, generando un estado inconsistente en el mempool. Para los mineros, las repercusiones eran considerables: los nodos afectados debían reiniciarse antes de poder generar de nuevo plantillas de bloques válidas, lo que hacía que este fallo fuera especialmente crítico para las operaciones mineras que dependen de un rendimiento ininterrumpido en sus nodos.
Dos vulnerabilidades adicionales de severidad media
Una segunda vulnerabilidad reportada en abril de 2025 fue identificada como CVE-2025-62859. El investigador Eugene Siegel descubrió que un par malicioso podía explotar la maleabilidad de los datos de testigo en bloques compactos para retrasar el procesamiento de los bloques hasta por 10 minutos. El aviso publicado por Bitcoin Core indicó que el ataque podía repetirse de manera indefinida contra nodos que operaban en modo -blocksonly o en situaciones donde el atacante controlaba los tres pares de alto ancho de banda.
También se solucionó un problema en las listas blancas de Tor
El tercer error divulgado por Bitcoin Core, registrado como CVE-2025-62860, afectaba a los nodos que utilizaban la configuración opcional -whitelist. Bajo determinadas configuraciones, los pares de Tor entrantes podían recibir permisos de lista blanca si la dirección IP del proxy se encontraba dentro de un rango aprobado.
Bitcoin Core señaló que miles de nodos accesibles en la mainnet habían estado otorgando acceso en lista blanca a las conexiones entrantes a través de Tor, lo que mermaba algunas protecciones contra ataques de denegación de servicio (DoS) y salvaguardas de privacidad.
Los nodos que no utilizaban esta configuración de lista blanca (la cual viene desactivada por defecto) no se vieron afectados. La versión 30.0 de Bitcoin Core incluyó los parches para las tres vulnerabilidades el 10 de octubre de 2025, seguida por la versión 29.2 el 14 de octubre. La última versión vulnerable de Bitcoin Core alcanzó su fin de ciclo de vida (end-of-life) el 27 de octubre, según detallan los avisos oficiales.
