• Intersect advirtió el 30 de octubre a los operadores de pools de participación de Cardano sobre CVE-2026-98432.
• La falla de Linux tiene una puntuación de gravedad CVSS de 9,8 sobre 10.
• Anthropic afirmó que su IA Claude desarrolló un ataque funcional en una prueba de 53 minutos, según informó el 27 de octubre.
Intersect advierte a los operadores de pools
Intersect, el grupo coordinador detrás de la gobernanza de Cardano (ADA), advirtió el 30 de octubre a los operadores de pools de participación sobre una vulnerabilidad crítica de Linux que podría bloquear los servidores que producen bloques de Cardano o, en algunas configuraciones, permitir tomar el control de ellos. La falla está identificada como CVE-2026-98432 y tiene una puntuación de gravedad CVSS de 9,8 sobre 10; afecta a kernels que se remontan a la versión 4.4, según la actualización semanal de Intersect. Linux es la base de muchas de las máquinas que mantienen en funcionamiento la cadena de bloques, y el error permite que solicitudes de internet especialmente diseñadas alteren la forma en que un servidor gestiona la memoria. Un ataque exitoso puede bloquear por completo la máquina o, en ciertas configuraciones, dar acceso total a una persona externa sin necesidad de contraseña. Una puntuación CVSS de 9,8 sitúa el error en la categoría más grave que asignan los evaluadores, reservada para fallas que pueden explotarse de forma remota y con poca complejidad.
La advertencia llega tras una investigación que Anthropic publicó el 27 de octubre, en la que la empresa dijo que su sistema de IA Claude había desarrollado un ataque de este tipo contra servidores que utilizan TCP multipath, una función de red que permite que una conexión se comunique a través de varias rutas a la vez. La publicación de investigación de la empresa señala que la prueba automatizada generó un exploit funcional en 53 minutos. Después apareció código de prueba público, aunque no llegó a demostrar el control total de un servidor. Hasta ahora no se ha informado de ningún ataque a la infraestructura de los pools de Cardano, y los datos del mercado no muestran ningún impacto directo establecido en el precio de Cardano. La mayoría de los productores de bloques de Cardano utilizan servidores Linux, por lo que la advertencia se dirigió a los operadores y no a los titulares comunes. El aviso se refiere a la capa de infraestructura, no al libro mayor en sí, pero Intersect lo consideró lo bastante urgente como para destacarlo en su actualización semanal de coordinación, y la producción de bloques de la red depende precisamente del tipo de máquinas Linux al que apunta el error.
Los parches tardan en llegar a Ubuntu y Red Hat
La exposición afecta al staking. El diseño de prueba de participación de Cardano permite que los titulares deleguen sus ADA en pools que producen bloques y obtienen recompensas, y actualmente hay unos 21.500 millones de ADA —alrededor del 58 % de la oferta circulante— delegados en toda la red. Con este sistema, las monedas nunca salen de la billetera de su propietario, y la documentación de Cardano afirma claramente que los ADA delegados se pueden gastar en cualquier momento. Por lo tanto, el secuestro de un pool no otorga a un atacante la propiedad de las monedas de quienes delegan en él. Que un pool quede fuera de servicio es otra cuestión: la misma documentación señala que el bajo rendimiento del pool reduce las recompensas que reciben tanto este como sus miembros, por lo que un servidor inutilizado por este error reduciría los pagos mucho antes de afectar al capital principal. Esa magnitud de la delegación explica por qué la advertencia se dirigió primero a los operadores: el fallo perjudica el tiempo de actividad de sus sistemas, no la seguridad de las billeteras de los titulares.
La aplicación de parches ha avanzado de forma desigual en las distribuciones que los operadores usan realmente. El kernel de Linux incorporó una corrección el 5 de octubre. Al 30 de octubre, Ubuntu seguía siendo vulnerable y la corrección estaba en curso; Red Hat Enterprise Linux indicaba que la corrección estaba pendiente, y los kernels parcheados de AlmaLinux seguían en pruebas. Esta disparidad importa porque los operadores de pools no usan una única imagen estándar, por lo que el mismo error deja distintos niveles de exposición en diferentes servidores. Intersect ha instado a los operadores a revisar sus servidores, instalar las actualizaciones y reiniciarlos, en lugar de dar por hecho que su distribución ya está protegida. El episodio recuerda el del pasado noviembre, cuando otro error dividió brevemente Cardano en dos cadenas; aquel incidente también terminó sin que se comprometieran fondos de los usuarios. No se ha vinculado ningún robo de fondos ni pérdida de recompensas con el fallo actual, y ahora la atención se centra en la rapidez con que se implementan las correcciones en la infraestructura de los pools de Cardano, donde el volumen delegado convierte el tiempo de actividad en una cuestión económica directa. Los operadores y delegadores que estén revisando su configuración pueden consultar nuestra guía para elegir un pool de staking de Cardano.
La cuestión pendiente es el nivel de exposición real, y los datos disponibles no permiten resolverla. La corrección del kernel se publicó el 5 de octubre, pero al 30 de octubre los paquetes de Ubuntu y Red Hat seguían sin parchearse, lo que concentra el riesgo residual en los operadores que usan esas distribuciones. No hay cifras publicadas que indiquen cuántos productores de bloques de Cardano han instalado la corrección, así que la advertencia y la ausencia de ataques siguen coexistiendo, y ambas afirmaciones son ciertas hasta donde se ha podido comprobar. Lo que este episodio deja claro es la naturaleza del riesgo: afecta a las recompensas y al tiempo de actividad, no a la custodia, ya que las monedas de los delegadores permanecen en sus propias billeteras, pase lo que pase con el servidor de un pool. Intersect, que recientemente devolvió 115.172 ADA a la tesorería en un hito inédito en la red principal, afronta ahora una prueba de coordinación de otro tipo.