Bitcoin Core revela un fallo que podría permitir que los mineros bloqueen los nodos

Los desarrolladores de Bitcoin Core revelaron un fallo de alta gravedad que podría permitir que los mineros bloqueen a distancia algunos nodos de Bitcoin.
Resumen

• Bitcoin Core divulgó la CVE-2024-52911, que afecta a versiones anteriores a la 29.0, y con nodos antiguos aún expuestos en línea.
• Los mineros necesitaban bloques de prueba de trabajo (proof-of-work) costosos para provocar bloqueos, lo que históricamente hacía poco probable el abuso en el mundo real por parte de atacantes.
• Cory Fields reportó el fallo de forma privada en 2024, antes de que Bitcoin Core 29.0 enviara el software corregido.

El problema, rastreado como CVE-2024-52911, afectó a versiones de Bitcoin Core posteriores a la 0.14.0 y anteriores a la 29.0. El fallo se corrigió en Bitcoin Core 29.0, que se lanzó en abril de 2025.

Bitcoin Core hizo público el tema el 5 de mayo de 2026, después de que la última línea de versiones vulnerables 28.x alcanzara el fin de su vida el 19 de abril.

El fallo afectó la validación de bloques

El problema involucró el intérprete de scripts de Bitcoin Core durante la validación de bloques. Bitcoin Core indicó que un bloque creado especialmente podría hacer que un nodo accediera a memoria después de que esos datos ya hubieran sido liberados.

Durante la validación, Bitcoin Core precalcula los datos de entrada de las transacciones y envía las comprobaciones de scripts a subprocesos en segundo plano. En algunos casos, un bloque inválido podía destruir datos en caché mientras otro subproceso aún intentaba leerlos.

Bitcoin Core dijo que esto podría permitir que un atacante con suficiente proof-of-work bloquee los nodos de la víctima. También señaló que «es posible» que el bloqueo pudiera apoyar la ejecución de código remoto, aunque las limitaciones de los datos del bloque hacían que ese resultado fuera «poco probable».

El ataque requería minería costosa

El ataque no era sencillo de ejecutar. Un minero tendría que producir un bloque creado especialmente con suficiente proof-of-work para llegar a la punta de la cadena.

Eso lo volvía costoso porque dicho bloque sería inválido. No podría obtener una recompensa normal de bloque, dejando al atacante gastar potencia de hash sin cobrar el pago de minería habitual.

Bitcoin Core no dijo que el fallo se hubiera utilizado en ataques reales. El aviso se centró en el defecto, la corrección y la línea de tiempo de divulgación.

El fallo no cambió las reglas de consenso de Bitcoin. Estaba ligado al manejo de memoria en el software de Bitcoin Core, no a las reglas que definen transacciones o bloques válidos de Bitcoin.

Cory Fields reportó el fallo

Cory Fields, del MIT Digital Currency Initiative, reportó el fallo de forma privada el 2 de nov. de 2024. Bitcoin Core dijo que el informe incluía una prueba de concepto y una forma propuesta de reducir el riesgo.

Pieter Wuille impulsó una corrección encubierta cuatro días después mediante la PR 31112. La solicitud de extracción se fusionó el 3 de dic. de 2024, antes de que Bitcoin Core 29.0 enviara el arreglo en abril de 2025.

El aviso siguió la política de divulgación de Bitcoin Core para fallos de alta gravedad. Su política indica que los problemas de alta gravedad se divulgan después de que finaliza la vida útil de la última versión afectada.

Además, los operadores de nodos que usan versiones de Bitcoin Core anteriores a la 29.0 aún enfrentan el fallo antiguo. Bitcoin Core no se actualiza automáticamente, así que los usuarios deben instalar manualmente versiones más nuevas.

Un informe previo sobre riesgos de descentralización en blockchain citó una investigación que señalaba que el 21% de los nodos de Bitcoin ejecutaba software de Bitcoin Core desactualizado en junio de 2021. Ese contexto muestra por qué las versiones antiguas de clientes pueden seguir siendo una preocupación de seguridad mucho después de que se envíen correcciones.