Qué pasó
El 28 de octubre de 2026, Bitcoin Core publicó tres avisos de seguridad sobre fallos encontrados por Project Loupe, un análisis automatizado con un modelo de lenguaje ejecutado por Spiral y comprobado por colaboradores humanos. Dos fallos pueden agotar la memoria de un nodo. El tercero puede corromper datos de deshacer en condiciones extremas. Las correcciones están disponibles en Bitcoin Core 29.5, 30.4, 31.2 y 32.1.
El ataque más directo afecta a nodos Windows, macOS y BSD. Un peer malicioso podía usar datos urgentes de TCP para saltarse el límite de datos entrantes en cola, seguir añadiendo bytes a la memoria y tumbar el proceso. Linux usa otro backend de sockets y no está afectado por esta vía concreta.
Bitcoin Core calificó el fallo como de severidad media. Project Loupe lo reportó el 23 de octubre, Gregory Sanders lo validó ese mismo día y Antoine Poinsot abrió la corrección el 26 de octubre. Las versiones 31.2 y 32.1 llegaron el 27 de octubre, seguidas por la 29.5 y la 30.4 el 28.
Qué cambia
El segundo fallo de severidad media se aplica a todos los sistemas operativos. Bitcoin Core pausa a un peer que lee demasiado despacio, pero seguía añadiendo anuncios de transacciones a su cola de salida. Un peer que afirmara no admitir pings BIP 31 podía evitar el tiempo de espera normal y mantener la cola creciendo sin límite.
El aviso estima un crecimiento de hasta 2 MB por hora para cada peer entrante y 5 MB por hora para cada peer saliente. Los nodos que usan -blocksonly están mucho menos afectados porque no retransmiten la mayoría de los anuncios de transacciones. La corrección desconecta a los peers cuyos datos en cola alcanzan el límite, incluidos los que no admiten BIP 31.
El tercer fallo afecta a los archivos undo, que guardan los datos necesarios para revertir bloques recientes durante una reorganización de la cadena. Las posiciones del archivo usaban valores de 32 bits. Un minero capaz de llenar un archivo undo más allá del límite podía sobrescribir posiciones anteriores y hacer que el nodo se apagara al desconectar el bloque afectado. En Windows y sistemas de 32 bits, la escritura podía fallar antes y obligar a apagar el nodo sin una reorganización.
El proyecto calificó este fallo como de severidad baja porque un ataque contra un nodo típico de 64 bits requeriría varios miles de bloques construidos de forma especial y una reorganización precisa. La corrección usa posiciones de 64 bits en sistemas compatibles.
Quienes operan nodos deben verificar la descarga desde el sitio oficial de Bitcoin Core y actualizar a la versión menor corregida de su rama. Las notas de la versión 30.4 identifican las tres correcciones trasladadas a ramas anteriores.
Qué no cambia
Los avisos no reportan explotación. Describen formas de detener un nodo, no de robar claves privadas, crear bitcoin ni saltarse la validación de transacciones. Un usuario de monedero que no ejecuta Bitcoin Core no tiene que actualizar software por estos fallos.
Linux está exento solo de la vía de datos urgentes de TCP. Los nodos Linux siguen afectados por el crecimiento lento de la cola de salida y por el fallo del archivo undo si ejecutan versiones vulnerables.
La corrección del archivo undo también tiene un límite declarado. Los nodos en sistemas de 32 bits o que guardan los archivos de bloques en FAT32 siguen afectados. En ambos casos hay que migrar a un sistema de 64 bits y un sistema de archivos compatibles en vez de tratar una versión menor como una solución completa.
La versión 29.5 corrige estos tres fallos, pero la rama 29.x ya está fuera de soporte. Instalar el parche cierra estas vías divulgadas; pasar a una rama mantenida es la opción más segura a largo plazo para recibir futuras correcciones.
Contexto
Estas son las primeras divulgaciones bajo la nueva vía rápida de Bitcoin Core para fallos considerados fáciles de redescubrir. Nuestro reporte del 22 de octubre cubrió esa política antes de que se publicara un fallo concreto. Este seguimiento cubre las primeras versiones corregidas y la acción que deben tomar quienes operan nodos.
Tres medios independientes comprobaron los avisos. CoinDesk describió la caída en sistemas distintos de Linux y la revisión humana del análisis. TFTC comparó las tres cronologías y no encontró explotación observada. Unchained comprobó las versiones corregidas, los límites por plataforma y la excepción de divulgación.
Los reportes coinciden en los mecanismos afectados y las versiones. Ninguno establece cuántos nodos accesibles siguen siendo vulnerables y el proyecto no ha dicho que alguno de los fallos se usara contra un nodo real.