Los desarrolladores de Bitcoin Core han revelado un bug de alta gravedad que podía impedir que los nodos afectados construyeran nuevos bloques. Este fallo aparecía durante reorganizaciones de la blockchain, corrompiendo el mempool del nodo.
Por suerte, los desarrolladores solucionaron el problema hace más de un año, pero los nodos viejos aún pueden estar en riesgo.
¿Cómo una reorganización de la blockchain podía detener la creación de bloques en Bitcoin?
Una plantilla de bloque es el bloque candidato que un nodo prepara para que los mineros trabajen en él. Sin esta plantilla, un nodo minero no puede producir nuevos bloques.
El 10 de noviembre, Bitcoin Core publicó la advertencia para CVE-2025-62861. Estos son los detalles clave:
- Versiones afectadas: Bitcoin Core 28.0 a 28.2 y 29.0 a 29.1.
- Causa principal: Una regla llamada “sibling eviction” funcionaba mal durante las reorganizaciones de la blockchain.
- Fallo: Los nodos podían eliminar una transacción restaurada pero mantener sus descendientes.
- Resultado: Las transacciones restantes usaban fondos que ya no existían.
El problema involucraba transacciones TRUC, un tipo más reciente que solo permite un “hijo” no confirmado. Con “sibling eviction”, introducido en la versión 28.0, un segundo “hijo” con más comisión puede reemplazar al primero.
Sin embargo, esa lógica fallaba cuando los nodos restauraban transacciones de bloques desconectados. En resumen, el nodo construía su siguiente bloque sobre una base dañada.
¿Quiénes estaban en riesgo por el bug?
Principalmente, mineros y operadores de pools que usaban versiones vulnerables. Una vez que el mempool se volvía inconsistente, la creación de la plantilla de bloques no pasaba la verificación de validez.
Como resultado, el nodo afectado ya no podía producir bloques. La única forma de arreglarlo era reiniciar, obligando al nodo a reconstruir su mempool desde cero.
El investigador de seguridad Niklas Goegge reportó el bug de forma responsable el 26 de septiembre de 2025. Poco después, el desarrollador Greg Sanders presentó la solución.
Las versiones corregidas salieron en octubre de 2025 con las versiones 30.0, 29.2 y 28.3. Bitcoin Core publicó los detalles solo después de que la última versión vulnerable 29.x llegara al final de su vida útil.
Por eso, los desarrolladores suelen esperar para compartir los detalles hasta que la mayoría de los nodos se han actualizado.
Es importante destacar que en el mismo lote de comunicados se incluyeron otros dos bugs corregidos en la versión 30.0. Uno podía detener el procesamiento de bloques y otro daba permisos incorrectos a conexiones entrantes por Tor.
Además, esta divulgación sigue a otro paquete de octubre con tres bugs más, detectados por un escáner impulsado por IA llamado Project Loupe.
Por lo tanto, los operadores que aún usen las versiones 28.0 a 29.1 deben actualizar de inmediato. Reiniciar un nodo afectado también restaura un mempool limpio.
