Bitcoin Core revela fallo de confianza en Tor y error en nodos mineros, corregidos en octubre
Bitcoin Core publicó el 10 de noviembre avisos de seguridad sobre tres vulnerabilidades, entre ellas CVE-2025-62860, que concedía permisos de peer de confianza a conexiones entrantes de Tor en algunos nodos. Los fallos se corrigieron en las versiones de octubre, y se pide a los operadores afectados que actualicen su software.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Lo que revelan los avisos
Bitcoin Core publicó su comunicado de seguridad el 10 de noviembre, en el que identifica tres vulnerabilidades, todas corregidas en versiones lanzadas en octubre. La más destacada es CVE-2025-62860, que permitía que las conexiones entrantes de Tor recibieran permisos de peer de confianza en miles de nodos de mainnet accesibles. Una segunda, CVE-2025-62861, calificada de severidad alta, podía impedir que un nodo minero produjera bloques hasta que se reiniciara. Una tercera, CVE-2025-62859, calificada de severidad media, afecta a la retransmisión de bloques compactos. El comunicado se publicó después de que la serie de versiones 29.x llegara al fin de su soporte el 27 de octubre.
El fallo de la lista blanca de Tor
Según el aviso, los peers entrantes de Tor aparecían ante Bitcoin Core con la dirección IP del software local de Tor, que normalmente se ejecuta en la misma máquina o red. Cuando esa dirección estaba dentro de un rango establecido mediante la opción opcional -whitelist, las conexiones externas heredaban permisos pensados para peers de confianza. Esos permisos eliminan ciertos límites contra denegación de servicio y protecciones contra la filtración de información privada. Proveedores populares incluían Bitcoin Core junto con Tor y configuraban rangos de lista blanca coincidentes, por lo que la exposición alcanzó a miles de nodos. Los nodos que nunca activaron esta configuración no predeterminada no se vieron afectados.
El error fue notificado al equipo de seguridad el 12 de septiembre de 2025 por Martin Zumsande y Antoine Poinsot, y la corrección, que excluye de los permisos de lista blanca las conexiones onion entrantes, se integró el 17 de septiembre. Los proveedores de software fueron notificados dos días después. Bitcoin Core 30.0 incluyó la corrección el 10 de octubre, seguida de la 29.2 el 14 de octubre, y el aviso enumera las versiones menores 28.3 y posteriores como parcheadas.
El error de reorganización en nodos mineros
CVE-2025-62861 afectaba a las versiones 28.0 a 28.2 y 29.0 a 29.1. Surge durante las reorganizaciones de la cadena, cuando las transacciones de los bloques desconectados regresan al mempool, el conjunto de transacciones pendientes del nodo. Las transacciones de versión 3, conocidas como transacciones TRUC, normalmente limitan las relaciones entre transacciones no confirmadas, y las transacciones que regresan deberían eludir esos límites durante una reorganización. Una regla de sustitución de transacciones seguía activa en ese proceso, lo que podía eliminar una transacción restaurada mientras dejaba atrás las transacciones dependientes. El mempool inconsistente resultante hacía que las plantillas de bloque no superaran la validación, y la producción de bloques no podía reanudarse hasta que un reinicio recargara el mempool. Niklas Goegge informó del problema el 26 de septiembre de 2025, y la corrección se integró el 2 de octubre. El desarrollador Greg Sanders explicó en la documentación de la corrección que omitir las comprobaciones TRUC durante las reorganizaciones era el comportamiento previsto, pero que el argumento de elusión correspondiente no había sido verificado.
Bloqueo por bloques compactos
CVE-2025-62859 es un problema de severidad media en los bloques compactos, un método de ahorro de ancho de banda para retransmitir bloques entre nodos. Un peer malicioso que anuncia primero un bloque compacto puede hacer que la víctima solicite el bloque completo a ese mismo peer y espere un tiempo límite de 10 minutos, tras una comprobación fallida de los datos de testigo de transacciones alterados. Según el comunicado, un atacante que controlara los tres peers de alto ancho de banda de una víctima podría repetir el bloqueo indefinidamente. Los nodos que funcionan con -blocksonly también eran susceptibles a bloqueos repetidos. Eugene Siegel informó del fallo el 28 de abril de 2025.
Calendario de divulgación
La política de divulgación de Bitcoin Core generalmente mantiene en reserva los detalles de severidad media y alta hasta dos semanas después de que la última versión afectada llegue al fin de su vida útil. La cronología publicada muestra que la corrección de Tor se integró unas siete semanas antes de la divulgación pública, y la corrección minera unas cinco semanas antes. La información de las fuentes difiere en cómo caracterizar el calendario: CoinDesk describe el fallo de Tor como algo que se mantuvo en silencio hasta el martes, mientras que Crypto.news presenta la divulgación como la publicación por parte de los desarrolladores de los detalles junto con las otras dos vulnerabilidades tras la fecha de fin de soporte de la serie 29.x. Ambos relatos coinciden en las fechas de los parches y en el desencadenante del fin de soporte, y los propios avisos no describen la divulgación como retrasada más allá de la política establecida.
Los operadores que ejecuten versiones afectadas o configuraciones de lista blanca son el público principal del aviso, y las versiones parcheadas son la vía de remediación documentada.
Por qué importa
Para los traders
Los errores están corregidos y el problema minero afectaba solo a rangos de versiones específicos, por lo que el impacto inmediato en el precio es probablemente limitado, aunque conviene revisar a los mineros que usen versiones afectadas.
Para los inversores
Divulgaciones de este tipo ponen de relieve el proceso de revisión de seguridad que Bitcoin Core aplica a su base de código, un factor relevante para la confianza a largo plazo en el software de los nodos.
Para los desarrolladores
Quienes presten servicios que dependan de -whitelist o de la confianza en peers de Tor deben auditar su configuración y confirmar que ejecutan las versiones 30.0, 29.2 o 28.3 posteriores.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
