Noticias › Seguridad

Seguridad

Bitcoin Core revela un fallo con Tor que hacía que miles de nodos confiaran en cualquier desconocido

El CVE-2025-62860 afectaba a nodos con lista blanca detrás de Tor; se corrigió en octubre de 2025 y se divulgó el 10 de noviembre de 2026 junto a otros dos fallos.

El proyecto Bitcoin Core publicó el martes 10 de noviembre tres avisos de seguridad sobre vulnerabilidades ya corregidas hace más de un año. La más llamativa, catalogada como CVE-2025-62860 y de gravedad media, afectaba a nodos que se ejecutaban junto a Tor. Según el aviso, había «miles de nodos accesibles en la red principal» que incluían en su lista blanca todas las conexiones entrantes de Tor, de modo que cualquier extraño que se conectara por esa vía heredaba permisos de confianza.

El mecanismo es sencillo de entender. Cuando un proveedor empaqueta Bitcoin Core con Tor, las conexiones que llegan desde la red Tor aparecen ante el nodo como si vinieran del propio programa Tor, que corre en la misma máquina. Si esa dirección local estaba dentro de un rango incluido en la opción de lista blanca, el nodo trataba a todo el que llegara por Tor como un par de confianza y le saltaba las protecciones contra el spam y los abusos. Los nodos que nunca activaron esa opción no estaban afectados.

La cronología importa. Martin Zumsande y Antoine Poinsot reportaron el problema en septiembre de 2025, Poinsot avisó en privado a los proveedores de software afectados el 19 de septiembre y la corrección llegó en las versiones publicadas en octubre de 2025. El cambio de código estuvo público en GitHub desde septiembre, aunque su título dejaba claro de qué trataba. El aviso se publicó ahora porque la serie 29.x dejó de recibir soporte el 27 de octubre y la política habitual del proyecto es divulgar unas dos semanas después.

El mismo día se divulgaron otras dos fallas. La CVE-2025-62861, de gravedad alta, fue reportada por Niklas Goegge el 26 de septiembre de 2025: una regla introducida en la versión 28.0 podía retirar una transacción restaurada dejando atrás a las que dependían de ella, de modo que un nodo minero afectado no podía construir plantillas de bloque válidas hasta reiniciarse. El aviso no registra ataques. La CVE-2025-62859, de gravedad media, permitía que una conexión maliciosa detuviera durante diez minutos el procesamiento de bloques nuevos; quien controlara las tres conexiones elegidas para la retransmisión rápida de bloques podría repetirlo indefinidamente.

¿Qué debería hacer quien tenga un nodo? Lo primero, comprobar que ejecuta una versión posterior a la serie 29.x y, si usa un paquete de terceros que incluye Tor, revisar que no tenga activada una lista blanca amplia. Lo segundo, entender que esto no afecta a las monedas ni a las claves: son fallos de comportamiento de la red y del nodo, no de las reglas de consenso ni de la custodia. Nadie perdió bitcoin por esto, y el aviso no menciona ataques reales.

Hay una lección que encaja con la filosofía de BitCorner. Que el software de Bitcoin se audite, se parchee en abierto y se explique con detalle meses después, con nombres y fechas, es parte de lo que lo hace confiable. Y es otra razón para ejecutar tu propio nodo y mantenerlo al día: la verificación solo vale si el verificador está actualizado.

Solo hechos, nunca asesoramiento financiero.