Bitcoin Core divulgó tres vulnerabilidades de seguridad en el software que opera la mayor parte de la red de Bitcoin, incluida una falla de alta gravedad que podría haber interrumpido la minería, todas las cuales ya han sido corregidas.

Las fallas, detalladas en un lote de avisos de seguridad publicados por el proyecto, abarcan problemas de denegación de servicio y privacidad, más que anything que hubiera permitido a un atacante robar monedas o falsificar bitcoin. Los desarrolladores reportaron ninguna evidencia de que las fallas hayan sido explotadas en la práctica.

Bitcoin Core, la implementación de referencia de código abierto operada en gran parte por desarrolladores voluntarios, gestiona la mayoría de los nodos de la red —las computadoras independientes que verifican por sí mismas cada transacción y bloque—, por lo que las fallas del software afectan a una amplia porción de la infraestructura de validación de Bitcoin. El proyecto clasifica las vulnerabilidades en cuatro niveles, desde "bajo" pasando por "medio" y "alto" hasta "crítico". Ninguna de las tres alcanzó el nivel "crítico", situándose en la parte media del rango. Bitcoin Core reserva ese nivel máximo para fallas que amenazan con robo de monedas a nivel de protocolo, creación no autorizada de monedas o divisiones permanentes de la cadena en toda la red.

Riesgo de corrupción del mempool

El problema más grave, registrado como CVE-2025-62861, riguarda la creación de plantillas de bloques, el proceso del que dependen los mineros para ensamblar nuevos bloques. Según el aviso, una reorganización de la cadena —un escenario en el que la red reemplaza bloques recientes por una cadena competidora— podría desencadenar una expulsión errónea de ciertas transacciones. Eso corrompería el mempool de un nodo, su sala de espera para transacciones no confirmadas, dejando al nodo afectado incapaz de construir plantillas de bloques hasta reiniciarlo.

Para un minero, eso significa una detención del trabajo mismo que genera las recompensas de bloque: el bitcoin recién emitido y las comisiones de transacción pagadas con cada bloque.

Una segunda falla, CVE-2025-62859, podría permitir a un peer bloquear el procesamiento de bloques de un nodo al anunciar un bloque compacto con un witness manipulado, una forma de mutabilidad de transacciones. Los bloques compactos son un formato de retransmisión que ahorra ancho de banda, en el que los nodos intercambian identificadores cortos de transacciones en lugar de datos completos del bloque.

La tercera falla, CVE-2025-62860, era un problema de privacidad y seguridad en el que las conexiones entrantes a través de la red de anonimato Tor recibían incorrectamente permisos de "lista blanca", eliminando diversas protecciones de denegación de servicio y privacidad en los nodos afectados.

Política de divulgación en la era de la IA

Las divulgaciones se producen en medio de un debate más amplio sobre la rapidez con la que los defensores de Bitcoin pueden mantenerse al ritmo de un panorama de amenazas cambiante. Bitcoin Core reescribió recientemente su política de seguridad para tener en cuenta la IA, agregando una categoría de vulnerabilidades "fácilmente descubribles" que pueden revelarse mediante un simple prompt de IA. Las fallas de esa categoría ahora se corrigen y divulgan de inmediato en lugar de mantenerse bajo un largo embargo.

Ese cambio refleja la creciente preocupación de que los grandes modelos de lenguaje hayan reducido la barrera para encontrar fallas, inquietud subrayada por el voluntario "Bitcoin Red Team", que ha estado corriendo para descubrir vulnerabilidades detectables por IA en todo el ecosistema antes de que los atacantes puedan explotarlas. Esa búsqueda sigue en curso, lo que convierte la intersección entre el descubrimiento de fallas asistido por IA y la divulgación inmediata en algo a seguir.

Las correcciones en sí se lanzaron antes, y los avisos llegaron después según el cronograma de divulgación de Bitcoin Core, una secuencia que da a los operadores de nodos una ventana para actualizar antes de que los detalles técnicos sean públicos. En general, se insta a los operadores de nodos a ejecutar el software más reciente para mantenerse protegidos, ya que las versiones anteriores no incluyen estas correcciones.