TL;DR
- Divulgación de seguridad: Los mantenedores del software nodo de Bitcoin Core revelaron tres vulnerabilidades que se informaron durante 2025 y se corrigieron en octubre de 2025.
- Riesgo de minería: Una falla de gravedad alta generó inconsistencias en el mempool al eliminar transacciones sin borrar los descendientes relacionados.
- Impacto en la red: Dos problemas de severidad media involucraron retrasos en el procesamiento de bloques y permisos de lista blanca no intencionados para algunas conexiones Tor.
Bitcoin Core reveló públicamente tres vulnerabilidades de seguridad previamente corregidas, incluyendo una falla de alta gravedad que podría impedir que algunos nodos de minería generen plantillas de bloques válidas. Las issues fueron reportadas originalmente durante 2025, y las correcciones se lanzaron en octubre de ese año. El protocolo indicó que las vulnerabilidades variaban en gravedad, pero cada una presentaba consecuencias operacionales potenciales para los operadores de nodos y mineros.
Se creó un error de alta gravedad que generó inconsistencias en la mempool
El problema más grave, rastreado como CVE-2025-62861, afectó las versiones de Bitcoin Core 28.0 a 28.2 y 29.0 a 29.1. La vulnerabilidad fue reportada por Niklas Goegge el 26 de septiembre de 2025. Según Bitcoin Core, las reglas de manejo de transacciones continuaron aplicándose después de que ciertas transacciones regresaran al mempool tras una reorganización de la cadena.
Como resultado, una transacción podría eliminarse sin eliminar también a sus descendientes, creando un estado inconsistente en el mempool. Para mineros, las consecuencias fueron significativas. Los nodos afectados necesitaban ser reiniciados antes de poder generar nuevamente plantillas de bloques válidas, lo que hacía que la falla fuera particularmente relevante para las operaciones de minería que dependen del rendimiento ininterrumpido del nodo.
Dos vulnerabilidades adicionales de gravedad media
Una segunda vulnerabilidad reportada contra Bitcoin Core en abril de 2025 fue identificada como CVE-2025-62859. El investigador Eugene Siegel descubrió que un par malicioso podría explotar la manipulación de testigos en bloques compactos para retrasar el procesamiento de bloques hasta 10 minutos. El aviso emitido por Bitcoin Core señaló que el ataque podría repetirse indefinidamente contra nodos operando en modo “-blocksonly” o en situaciones donde el atacante controlara los tres pares de alta ancho de banda.
También se resolvió el problema de la lista blanca de Tor
El tercer error revelado por Bitcoin Core, CVE-2025-62860, involucraba nodos que utilizaban la configuración opcional “-whitelist”. Bajo ciertas configuraciones, los pares entrantes de Tor podían recibir permisos de whitelist si la dirección IP del proxy caía dentro de un rango aprobado. Bitcoin Core indicó que miles de nodos mainnet accesibles habían estado whitelistando conexiones entrantes de Tor, reduciendo algunas protecciones contra ataques de denegación de servicio y salvaguardias de privacidad.
Los nodos que no utilizaron la configuración de lista blanca distinta a la predeterminada no se vieron afectados. Bitcoin Core 30.0 incluyó correcciones para las tres vulnerabilidades el 10 de octubre de 2025, seguido por la versión 29.2 el 14 de octubre. La última versión de Bitcoin Core vulnerable alcanzó el fin de su vida útil el 27 de octubre, según los avisos.