La red de Bitcoin ya contaba con parches para tres vulnerabilidades en Bitcoin Core, una de ellas capaz de dejar sin plantillas válidas a algunos mineros.
Bitcoin Core divulgó tres vulnerabilidades de seguridad que ya tenían corrección disponible: una podía dejar a ciertos mineros sin plantillas de bloque válidas tras una reorganización de la cadena, mientras que las otras afectaban el procesamiento de bloques y los permisos de algunas conexiones Tor.
El fallo más grave podía frenar la minería
La vulnerabilidad de mayor severidad, identificada como CVE-2025-62861, podía impedir que algunos nodos de minería generaran plantillas de bloque válidas después de una reorganización de la cadena. El problema afectaba a versiones concretas y dependía de una secuencia específica de operaciones en el mempool.
El fallo se vinculó con las reglas TRUC de expulsión de transacciones hermanas, que Bitcoin Core usa para administrar ciertas transacciones en el mempool. Tras una reorganización, algunas transacciones podían volver a esa memoria temporal, pero las reglas seguían aplicándose de una forma que podía dejar un estado inconsistente: el sistema expulsaba una transacción sin retirar también a sus descendientes.
Para los mineros alcanzados por ese escenario, el aviso indicó como remedio operativo reiniciar el nodo antes de volver a crear plantillas válidas. Niklas Goegge reportó CVE-2025-62861 el 26 de septiembre de 2025. El problema afectó a Bitcoin Core 28.0, 28.1 y 28.2, además de las versiones 29.0 y 29.1.
Los otros dos fallos afectaban bloques y conexiones Tor
La segunda vulnerabilidad, CVE-2025-62859, fue clasificada con severidad media y reportada por Eugene Siegel en abril de 2025. Según el aviso, un par malicioso podía aprovechar la maleabilidad de testigos asociada a bloques compactos para retrasar el procesamiento de bloques hasta 10 minutos.
Ese retraso podía repetirse contra nodos que operaran con la opción -blocksonly, o en un escenario en el que el atacante controlara los tres pares de alto ancho de banda del nodo objetivo. La divulgación no presentó ese intervalo como un tiempo fijo para toda ejecución ni como una interrupción inevitable de la red.
La tercera vulnerabilidad, CVE-2025-62860, también fue clasificada con severidad media y afectaba una configuración opcional de lista blanca. Si el rango de direcciones IP configurado incluía la dirección del proxy Tor, las conexiones entrantes que llegaban por esa red podían recibir permisos de lista blanca.
Bitcoin Core señaló que miles de nodos alcanzables de la red principal estaban configurados de ese modo. En esos casos, el permiso eliminaba ciertos límites de denegación de servicio y protecciones de privacidad que normalmente se aplican a esas conexiones.
Los parches llegaron antes de la divulgación pública
Bitcoin Core 30.0 incorporó correcciones para las tres vulnerabilidades y se lanzó el 10 de octubre de 2025. La versión 29.2, también corregida, llegó el 14 de octubre de ese año. La divulgación pública se produjo después de esas publicaciones.
El aviso también señaló que la última versión vulnerable de Bitcoin Core llegó al final de su ciclo de vida el 27 de octubre de 2026. Los reportes de CVE-2025-62859 y CVE-2025-62860 tienen fecha del 10 de noviembre de 2026, mientras que los otros dos casos fueron reportados en 2025.
En conjunto, los tres fallos cubren problemas distintos: el tratamiento de transacciones que vuelven al mempool, la reconstrucción de bloques compactos y la asignación de permisos a conexiones Tor. Eso obliga a distinguir qué versiones y qué condiciones corresponden a cada CVE.
Contenido redactado con asistencia de un LLM.
