Los desarrolladores de Bitcoin Core han publicado avisos de seguridad describiendo tres vulnerabilidades que se corrigieron en octubre de 2025, incluido un fallo de alta gravedad que podría haber interferido con la minería tras una reorganización de la cadena. Las divulgaciones, publicadas el 10 de nov., siguen la política del proyecto de esperar al menos dos semanas después del fin de vida de las versiones afectadas antes de hacer públicos los detalles.

BTC / USD
Fuente: CoinGecko. Precios orientativos.

Actualización, 11 de nov., 23:08 UTC: Bitcoin.com informó que alrededor del 9 % de los nodos alcanzables aún ejecutaban versiones vulnerables al momento de la divulgación, y que el desarrollador Greg Sanders fusionó la corrección el 2 de oct. 2025, según el medio.

Actualización, 11 de nov., 20:00 UTC: Según Decrypt, ninguna de las tres vulnerabilidades fue clasificada como “crítica” por Bitcoin Core, y el proyecto ha revisado recientemente su política de seguridad para incluir una categoría de bugs detectables por IA, que serán parcheados y divulgados de inmediato.

Actualización, 11 de nov., 16:38 UTC: Según Unchained, las divulgaciones llegaron 396 días después de que se enviaran los parches, y los escritos se publicaron tras el fin de vida de la última línea vulnerable 29.x el 27 de oct. 2026. El aviso señala que no confirma ninguna explotación de los fallos.

Vulnerabilidad de minería de alta gravedad (CVE‑2025‑62861)

El problema más crítico, catalogado como CVE‑2025‑62861, fue reportado por el investigador de seguridad Niklas Goegge el 26 de sept. 2025. Podría haber causado un estado inconsistente del mempool tras una reorganización de la cadena, impidiendo potencialmente a los mineros crear nuevos bloques. El bug afectó a las versiones de Bitcoin Core 28.0‑28.2 y 29.0‑29.1 y se abordó en Bitcoin Core 28.3.

Fallos de gravedad media (CVE‑2025‑62859 y CVE‑2025‑62860)

La segunda vulnerabilidad, CVE‑2025‑62859, fue identificada por Eugene Siegel en abril de 2025. Permitía a un par malicioso manipular los datos de testigos de transacciones, retrasando potencialmente el procesamiento de bloques hasta diez minutos y habilitando ataques repetidos a nodos con ciertas configuraciones.

El tercer problema, CVE‑2025‑62860, estaba relacionado con nodos que usaban la lista blanca opcional de Tor. Miles de nodos alcanzables en mainnet permitieron inadvertidamente conexiones entrantes por Tor, exponiéndolos a posible abuso. Los nodos sin la configuración de lista blanca no se vieron afectados.