Bitcoin Core corrigió tres fallas detectadas con un escaneo de inteligencia artificial: una permitía hacer caer cualquier nodo con Windows o macOS

Las vulnerabilidades, de severidad media y baja, no ponían en riesgo fondos. Las halló el Project Loupe de Spiral con un modelo de lenguaje y ya están resueltas en las versiones 32.1, 31.2, 30.4 y 29.5. Los nodos con Linux no estaban expuestos a la más grave.

Los desarrolladores de Bitcoin Core, el software que usa la gran mayoría de los nodos de la red de Bitcoin, divulgaron el miércoles 28 de octubre tres vulnerabilidades que ya fueron corregidas y que tienen un origen común: las detectó un escaneo automatizado con un modelo de lenguaje, dentro del Project Loupe que lidera el desarrollador Elias Rohrer en Spiral, la división de Block dedicada a financiar el desarrollo de Bitcoin. La más seria permitía que un par malicioso hiciera caer, «de forma trivial», cualquier nodo con Windows, macOS o BSD al que estuviera conectado.

Las correcciones están en las versiones 32.1, 31.2, 30.4 y 29.5, publicadas entre el lunes 27 y el martes 28. Según los avisos de seguridad del proyecto, ninguna de las fallas es de severidad crítica, la categoría que Bitcoin Core reserva para errores que permitan robar fondos: dos son de severidad media y una, baja. La recomendación para quienes operan nodos es actualizar a la versión corregida de su rama.

La falla en Windows y macOS

El aviso principal describe un crecimiento ilimitado de la memoria a partir de datos TCP «urgentes» en sistemas que no son Linux. El problema estaba en el mecanismo de lectura de conexiones que Bitcoin Core usa en esos sistemas operativos; en Linux se usa otro, por lo que esos nodos no están afectados. «En la práctica, un par malicioso puede hacer caer trivialmente cualquier nodo con Windows, macOS o BSD al que esté conectado», dice el texto, que la califica de severidad media y «fácil de descubrir».

La cronología publicada muestra la velocidad del proceso: el 23 de octubre Project Loupe identificó el problema y se lo comunicó al desarrollador Gregory Sanders, que lo validó y avisó al equipo de seguridad ese mismo día; el 26, Antoine Poinsot abrió la corrección, que se incorporó a las cuatro ramas; el 27 y el 28 salieron las nuevas versiones, y el 28 se hizo pública la falla.

Las otras dos

La segunda vulnerabilidad, también de severidad media, provocaba un crecimiento lento de la memoria con pares antiguos en pausa: hasta 2 MB por hora por cada conexión entrante y 5 MB por hora por cada saliente. Project Loupe la reportó el 15 de septiembre y otro desarrollador, conocido como L0rinc, la redescubrió por su cuenta.

La tercera, de severidad baja, es un desbordamiento de los archivos de «deshacer» que el nodo usa para revertir bloques en una reorganización de la cadena. El aviso considera su explotación «impracticable» en sistemas de 64 bits, que quedan corregidos, pero advierte que los sistemas de 32 bits y los nodos que guardan los bloques en discos con formato FAT32 siguen afectados. Un nodo que ya se haya detenido por esta falla necesita reindexar la cadena con una versión corregida.

Por qué importa

Los nodos son las computadoras que validan las transacciones y los bloques de Bitcoin y mantienen una copia de la cadena; una falla que permita apagarlos a distancia no compromete los fondos, pero sí puede afectar a exchanges, billeteras y servicios que dependen de su propio nodo. El caso se suma a una tendencia más amplia: el uso de modelos de inteligencia artificial para auditar código de infraestructura crítica, que en este caso encontró en pocas semanas tres errores en uno de los proyectos de software más revisados del mundo cripto.

El anuncio de la versión 32.1 informa además que la rama 29.x llegó al final de su vida útil y no recibirá más actualizaciones, y adelanta que hay otras tres vulnerabilidades de severidad media o alta, corregidas en la versión 30.0, que todavía no fueron divulgadas. Según CoinDesk, se publicarán en dos semanas.

Fuentes: avisos de seguridad de Bitcoin Core del 28/10/2026 (bitcoincore.org), anuncio de la versión 32.1 en Delving Bitcoin y CoinDesk.