Los desarrolladores de Bitcoin Core divulgaron detalles de tres vulnerabilidades de seguridad ya corregidas que afectaban las operaciones de nodos de minería, el procesamiento de bloques y la privacidad de algunos usuarios de Tor. Los desarrolladores corrigieron las tres en Bitcoin Core 30.0 y 29.2 en octubre de 2025, abordando fallos que podían interrumpir las operaciones del mempool, retrasar el procesamiento de bloques y debilitar las protecciones contra ataques de denegación de servicio distribuido.
Un fallo del mempool podía interrumpir los nodos de minería
La vulnerabilidad más grave, CVE-2025-62861, afectaba a las versiones 28.0 a 28.2 y 29.0 a 29.1 de Bitcoin Core. Niklas Gögge reportó el problema el 26 de septiembre de 2025.
El fallo involucraba el mecanismo de expulsión de transacciones hermanas, que establece reglas para eliminar transacciones relacionadas conforme a la política TRUC. Tras una reorganización de la cadena de bloques, esas reglas seguían aplicándose a las transacciones que regresaban al mempool.
Como resultado, un nodo podía eliminar una transacción padre mientras dejaba sus transacciones hijas en el mempool. La inconsistencia resultante podía impedir que los mineros produjeran plantillas de bloques válidas. Los nodos afectados tenían que reiniciar el software para restablecer las operaciones normales.
El procesamiento de bloques compactos podía sufrir retrasos repetidos
La segunda vulnerabilidad, CVE-2025-62859, recibió una calificación de severidad media. Eugene Siegel describió el problema en abril de 2025.
La vulnerabilidad permitía a un par de red malicioso manipular datos witness en bloques compactos mediante maleabilidad witness, lo que podía retrasar el procesamiento de bloques hasta 10 minutos.
Un atacante podía repetir el ataque sin límite contra nodos iniciados con el parámetro -blocksonly. Lo mismo se aplicaba si el atacante controlaba los tres pares de alto ancho de banda de un nodo.
La configuración de Tor podía otorgar acceso privilegiado
La tercera vulnerabilidad, CVE-2025-62860, afectaba la gestión de conexiones entrantes de Tor. Bajo ciertas configuraciones, la dirección IP del servidor proxy podía estar dentro del rango especificado por la configuración -whitelist, lo que otorgaba acceso privilegiado a los nodos Tor conectados mediante ese proxy.
El problema podía debilitar las protecciones contra ataques de denegación de servicio distribuido y reducir la privacidad. Según Bitcoin Core, la configuración pertinente afectaba a miles de nodos accesibles en la red principal de Bitcoin. Los nodos sin la configuración no estándar de lista blanca no eran vulnerables al problema.
Las correcciones llegaron en octubre de 2025
Bitcoin Core abordó las tres vulnerabilidades en actualizaciones de software. La versión 30.0 se lanzó el 10 de octubre de 2025, seguida de la versión 29.2 el 14 de octubre. La última versión vulnerable del software llegó al fin de su vida útil el 27 de octubre de 2025.
Las divulgaciones siguieron a información anterior del equipo de Bitcoin Core sobre tres vulnerabilidades identificadas mediante escaneo automatizado de código por un modelo de lenguaje de gran tamaño.
Fuente: HODL Press
