La lista blanca debía ser una puerta para los de casa, pero terminó siendo una puerta abierta para todos
El 10 de noviembre, Bitcoin Core reveló tres vulnerabilidades. La más destacable es CVE-2025-62860: de gravedad media, afecta a las versiones anteriores a la 28.3, 29.2 y 30.0.
En las conexiones externas que pasan por Tor, la IP que se muestra es la dirección del software Tor local.
Si esa dirección está dentro del rango de IP de confianza configurado con -whitelist, Core trata a desconocidos como si fueran de casa y estuvieran en la lista blanca.
Una vez dentro de la lista blanca, se levantan las restricciones contra DoS y también se desactivan las medidas para mitigar las filtraciones de privacidad.
¿Por qué afectó a miles de nodos de la red principal?
No fue por un problema en la configuración predeterminada de Core: los nodos que nunca configuraron un -whitelist distinto del predeterminado no se vieron afectados.
El problema fue que los proveedores empaquetaron Core con Tor y, de paso, configuraron -whitelist para que coincidiera con el rango de direcciones de Tor.
Un valor predeterminado elegido por comodidad abrió la puerta a todo el mundo.
Lo que se perdió esta vez no fueron monedas, sino protección.
Se pueden enviar transacciones basura sin límite de velocidad y la protección de la privacidad deja de funcionar.
No robaron las claves privadas, la regla de suministro de $BTC no cambió y la cantidad que tienes tampoco.
Lo que se debilitó fue el sistema inmunitario de los nodos.
Ese mismo día también se revelaron otras dos vulnerabilidades: una de gravedad alta y otra media.
Las tres se corrigieron en octubre de 2025, pero se hicieron públicas el 10 de noviembre de este año.
El mantenimiento de la serie 29.x terminó el 27 de octubre, pero el aviso no se publicó hasta el 10 de noviembre.
Quienes aún usaban la versión 29.x, cuando se enteraron de la vulnerabilidad ya no podían recibir actualizaciones de seguridad.
Avisar demasiado pronto es entregar instrucciones a los atacantes; hacerlo demasiado tarde es dejar desprotegidos a los usuarios de versiones antiguas. Ese es el dilema sin salida de la política de divulgación.
Mi opinión:
El verdadero problema no está en el código, sino en la integración: una configuración predeterminada del proveedor determina el nivel de seguridad de miles de nodos.
La condición para que se active es que la configuración no sea la predeterminada; la gente común no se ve afectada directamente y el equipo oficial tampoco detectó ningún uso malicioso activo.
Lo que sigue sin resolverse es la brecha entre «creía que estaba a salvo» y «mi configuración la eligió otra persona».
Cuando leas noticias como esta, hazte tres preguntas:
¿Lo que está en riesgo es el dinero o la protección?
¿La condición de activación es una configuración no predeterminada? ¿La cambié yo?
¿Cuándo salió la versión corregida y cuándo se hizo pública la vulnerabilidad? ¿Cuánto tiempo hubo entre ambas cosas?
Revisa siempre por tu cuenta la configuración predeterminada que te proporcionen.
¿Quién escribió tu configuración: el proveedor, un tutorial o tú?
Bitcoin Core no lo hizo público hasta más de un año después. ¿Te parece responsable o demasiado tarde?
#比特币Core披露Tor流量漏洞
El 10 de noviembre, Bitcoin Core reveló tres vulnerabilidades. La más destacable es CVE-2025-62860: de gravedad media, afecta a las versiones anteriores a la 28.3, 29.2 y 30.0.
En las conexiones externas que pasan por Tor, la IP que se muestra es la dirección del software Tor local.
Si esa dirección está dentro del rango de IP de confianza configurado con -whitelist, Core trata a desconocidos como si fueran de casa y estuvieran en la lista blanca.
Una vez dentro de la lista blanca, se levantan las restricciones contra DoS y también se desactivan las medidas para mitigar las filtraciones de privacidad.
¿Por qué afectó a miles de nodos de la red principal?
No fue por un problema en la configuración predeterminada de Core: los nodos que nunca configuraron un -whitelist distinto del predeterminado no se vieron afectados.
El problema fue que los proveedores empaquetaron Core con Tor y, de paso, configuraron -whitelist para que coincidiera con el rango de direcciones de Tor.
Un valor predeterminado elegido por comodidad abrió la puerta a todo el mundo.
Lo que se perdió esta vez no fueron monedas, sino protección.
Se pueden enviar transacciones basura sin límite de velocidad y la protección de la privacidad deja de funcionar.
No robaron las claves privadas, la regla de suministro de $BTC no cambió y la cantidad que tienes tampoco.
Lo que se debilitó fue el sistema inmunitario de los nodos.
Ese mismo día también se revelaron otras dos vulnerabilidades: una de gravedad alta y otra media.
Las tres se corrigieron en octubre de 2025, pero se hicieron públicas el 10 de noviembre de este año.
El mantenimiento de la serie 29.x terminó el 27 de octubre, pero el aviso no se publicó hasta el 10 de noviembre.
Quienes aún usaban la versión 29.x, cuando se enteraron de la vulnerabilidad ya no podían recibir actualizaciones de seguridad.
Avisar demasiado pronto es entregar instrucciones a los atacantes; hacerlo demasiado tarde es dejar desprotegidos a los usuarios de versiones antiguas. Ese es el dilema sin salida de la política de divulgación.
Mi opinión:
El verdadero problema no está en el código, sino en la integración: una configuración predeterminada del proveedor determina el nivel de seguridad de miles de nodos.
La condición para que se active es que la configuración no sea la predeterminada; la gente común no se ve afectada directamente y el equipo oficial tampoco detectó ningún uso malicioso activo.
Lo que sigue sin resolverse es la brecha entre «creía que estaba a salvo» y «mi configuración la eligió otra persona».
Cuando leas noticias como esta, hazte tres preguntas:
¿Lo que está en riesgo es el dinero o la protección?
¿La condición de activación es una configuración no predeterminada? ¿La cambié yo?
¿Cuándo salió la versión corregida y cuándo se hizo pública la vulnerabilidad? ¿Cuánto tiempo hubo entre ambas cosas?
Revisa siempre por tu cuenta la configuración predeterminada que te proporcionen.
¿Quién escribió tu configuración: el proveedor, un tutorial o tú?
Bitcoin Core no lo hizo público hasta más de un año después. ¿Te parece responsable o demasiado tarde?
#比特币Core披露Tor流量漏洞