Bitcoin Core ha revelado públicamente CVE-2025-62861, una vulnerabilidad de gravedad alta que podría haber impedido que los nodos de minería produjeran nuevos bloques tras una reorganización de la cadena. La falla fue corregida de forma silenciosa hace más de un año y no se ha confirmado ninguna explotación en la práctica. Aun así, la revelación destaca la forma en que errores críticos pueden avanzar en silencio por el pipeline de desarrollo de código abierto de Bitcoin antes de que la comunidad en general se entere. La designación CVE proviene del sistema Common Vulnerabilities and Exposures, el registro estándar que los equipos de seguridad utilizan para dar seguimiento a las fallas de software conocidas públicamente.

El error detrás del riesgo para la minería

Bitcoin Core es la implementación de software de referencia en la que se basan la mayoría de los nodos completos y la infraestructura de minería para validar transacciones y construir plantillas de bloques —los bloques candidatos que un nodo ensambla a partir de su mempool para que los mineros los hasheen—. Es distinto de la propia red de Bitcoin: la red sigue operando mientras suficientes nodos ejecuten software compatible, pero un defecto en Core puede crear problemas operativos serios para los mineros que dependen de él.

Según el anuncio oficial de Bitcoin Core, CVE-2025-62861 fue introducido en la versión 28.0 junto con una función llamada TRUC, también conocida como relay de transacciones v3 —una política de relay que restringe la estructura de ciertas transacciones y sus descendientes no confirmados para que la elevación de comisiones de cadenas de transacciones pendientes sea más confiable—. El desencadenante era una reorganización de la cadena, el proceso mediante el cual la red reemplaza bloques recién añadidos por una cadena competidora, típicamente cuando los bloques candidatos en competencia se encuentran a poca distancia. Durante una reorganización de este tipo, la lógica de expulsión de transacciones hermanas de TRUC no estaba condicionada por el flag bypass_limits que normalmente se aplica cuando las transacciones se reagregan a la mempool —el área de espera del nodo para las transacciones validadas pendientes de incluirse en un bloque—. La consecuencia: transacciones que gastaban salidas que ya no existían podían permanecer en la mempool, corrompiendo su estado e impidiendo la creación de plantillas de bloques hasta que se reiniciara el nodo.

El riesgo práctico era acotado pero significativo. Un nodo de minería que ejecutara una versión afectada y encontrara una reorganización podía perder silenciosamente la capacidad de ensamblar nuevos bloques, perdiendo las recompensas de bloque hasta que un operador lo notara y reiniciara el proceso. Dado que las reorganizaciones de la cadena son una parte normal, aunque poco frecuente, del funcionamiento de Bitcoin, el escenario no era teórico.

Los datos esenciales de la revelación:

• Bitcoin Core publicó parches en v28.3, v29.2 y v30.0 para el error de gravedad alta, que podía detener los nodos de minería tras una reorganización de la cadena.
• El riesgo afectaba la continuidad de la minería, no a la red de Bitcoin en general, y no se confirmó ninguna explotación.
• Los operadores de nodos y mineros que ejecuten las versiones 28.0–28.2 o 29.0–29.1 deben revisar el anuncio oficial y actualizar.
• El investigador de seguridad Niklas Goegge reportó la falla el 26 de septiembre de 2025. El desarrollador Greg Sanders abrió el PR de corrección #33504 tres días después; se fusionó el 2 de octubre de 2025 y se aplicó de forma retroactiva —backport— a tres líneas de lanzamiento: v30.0 el 10 de octubre, v29.2 el 14 de octubre y v28.3 el 17 de octubre, todas en 2025.

Cómo podría haberse extendido una interrupción de la minería

Los mineros compiten por añadir nuevos bloques a la cadena de Bitcoin aproximadamente cada diez minutos. Cuando un nodo no puede construir una plantilla de bloque válida, no puede participar en esa competencia. Que un solo nodo afectado se caiga perjudica únicamente a su operador; una falla más amplia en muchos nodos que ejecuten la misma versión vulnerable del software podría, en teoría, reducir el ritmo de confirmaciones de transacciones para el resto de la red.

El anuncio de Bitcoin Core confirmó que no hubo explotación y que la red no mostró interrupciones durante el período en que el error existió. Aun así, el episodio ilustra la dependencia operativa que los mineros y operadores de nodos tienen del código base de Core, en particular cuando se introducen nuevas funciones de relay de transacciones como TRUC.

CVE-2025-62861 no se reveló de forma aislada. Como informó Unchained Crypto, Bitcoin Core reveló simultáneamente dos vulnerabilidades adicionales de gravedad media: CVE-2025-62860, en el que las conexiones entrantes de Tor recibían incorrectamente permisos de lista blanca, afectando a un gran número de nodos de mainnet, y CVE-2025-62859, en el que un par malicioso podía detener el procesamiento de bloques mediante abuso de bloques compactos. Los bloques compactos son un formato de relay que ahorra ancho de banda, en el que los nodos intercambian referencias cortas a las transacciones en lugar de los datos completos del bloque. Las tres correcciones ya se habían publicado antes de la fecha de revelación del 10 de noviembre de 2026.

La reacción de la comunidad cripto en X fue mesurada, y la mayoría de los comentaristas señaló que los parches llevaban más de un año disponibles. En una publicación en X, @TFTC21 escribió que el peor error, calificado como alto, podía dejar a un nodo de minería sin poder construir bloques tras una reorganización hasta reiniciarlo, y exhortó a cualquiera que aún ejecutara algo anterior a 29.2 o 30.0 a estar atento.

Un largo embargo — y una nueva política de revelación

Bitcoin Core mantuvo la revelación pública en reserva durante aproximadamente 396 días después de la publicación de las correcciones, esperando específicamente a que la línea de lanzamiento vulnerable 29.x llegara al fin de su vida útil el 27 de octubre de 2026 —el momento en que una versión deja de recibir actualizaciones de seguridad—. Ese intervalo es notablemente largo incluso según los estándares históricos del propio proyecto en materia de revelación responsable. Los embargos de este tipo son una constante de la divulgación coordinada de vulnerabilidades, la práctica de retener los detalles técnicos hasta que los usuarios afectados hayan tenido una ventana realista para actualizar.

El momento coincide además con una actualización de política de Bitcoin Core. El proyecto ahora tiene previsto revelar las vulnerabilidades que puedan ser descubiertas por herramientas de IA inmediatamente después de aplicar los parches, en lugar de mantenerlas bajo un embargo prolongado. Como informó Decrypt, este cambio refleja la creciente preocupación de que los grandes modelos de lenguaje pudieran ayudar a actores maliciosos a redescubrir fallas conocidas a partir de los diffs de los parches antes de que los operadores hayan tenido tiempo de actualizar.

Qué deben hacer ahora los operadores de nodos, mineros y usuarios

Los operadores que ejecuten Bitcoin Core en las versiones 28.0, 28.1, 28.2, 29.0 o 29.1 están usando software que contiene el error de gravedad alta que afecta a los nodos de minería. Las versiones corregidas son v28.3, v29.2 y v30.0. Los operadores de nodos y los equipos de infraestructura de minería deben revisar el anuncio oficial del CVE y sus procedimientos internos de despliegue antes de actualizar, ya que cualquier actualización importante del software de nodos conlleva su propio riesgo operativo y debe probarse primero en entornos de staging.

Los usuarios que no operen Bitcoin Core directamente ni gestionen infraestructura de minería no tienen ninguna acción inmediata que realizar. La red de Bitcoin en sí no sufrió interrupciones, y las confirmaciones de transacciones no se vieron afectadas durante el período en que existió la vulnerabilidad.

El panorama de seguridad más amplio de la infraestructura de Bitcoin ha llamado la atención recientemente, ya que las brechas de seguridad de alto perfil en la industria cripto han mantenido en alerta a los operadores de exchanges y servicios de custodia. La revelación de Bitcoin Core pertenece a una categoría de riesgo distinta, relacionada con software de nodos de código abierto en lugar de sistemas de custodia, pero refuerza la necesidad de mantener actualizado el software en toda la infraestructura vinculada a Bitcoin.

Los operadores de minería en particular deben tomarse tan en serio los dos CVE de gravedad media como el de gravedad alta. La mala configuración de permisos de Tor (CVE-2025-62860) y el ataque de bloqueo mediante bloques compactos (CVE-2025-62859) afectaron ambos a nodos de mainnet en producción y fueron corregidos en el mismo ciclo de lanzamientos. Ejecutar la última versión soportada resuelve los tres al mismo tiempo.

La nueva política de revelación de errores detectables por IA de Bitcoin Core indica que los futuros ciclos de parches podrían ir más rápido de la corrección al anuncio público. Para las operaciones de minería y los operadores de nodos, esto acorta la ventana entre la disponibilidad de un parche y la difusión generalizada de los detalles de la vulnerabilidad, haciendo que una rápida cadencia de actualizaciones sea más importante que históricamente.

Nota editorial: Este artículo fue verificado por el equipo de QC de CoinWy antes de su publicación el 11 de noviembre de 2026 en cuanto a precisión del titular, valor original, consistencia factual, metadatos, divulgación comercial y afirmaciones de autoría. CoinWy utiliza IA para investigación, redacción y revisión; su equipo editorial es responsable de cada artículo y corrige o retira artículos cuando es necesario.

Descargo de responsabilidad: Este artículo tiene fines informativos únicamente y no constituye asesoramiento financiero ni de inversión. Los mercados de criptomonedas y activos digitales implican riesgos significativos. Siempre haga su propia investigación antes de tomar decisiones.