Bitcoin Core aprobó el 22 de octubre un cambio de reglas que abre una vía más rápida para corregir vulnerabilidades: ahora se puede aplicar un parche a todas las ramas de versiones mantenidas a la vez cuando se considera que los atacantes podrían volver a encontrar fácilmente un fallo, y publicar un aviso cada vez que se implemente una corrección. El cambio llega cuando una instantánea de la red del Instituto Tecnológico de Karlsruhe (KIT) muestra que el 43,6 % de los pares públicos de Bitcoin Core incluidos en la muestra utiliza versiones que ya no reciben parches.
Con la nueva regla, los desarrolladores pueden clasificar un fallo durante la evaluación inicial, valorando la facilidad con que podría volver a descubrirse, incluso con ayuda de modelos de lenguaje grandes. El desarrollador de Bitcoin Core Antoine Poinsot anunció el cambio en la lista de correo bitcoindev, en la solicitud de incorporación de cambios aprobada que actualiza la política de seguridad del proyecto. Sostuvo que el antiguo embargo sirve de poco, mientras retrasa la disponibilidad de una versión corregida. La contrapartida que señaló es que las mitigaciones dispondrán de menos tiempo para demostrar su eficacia en las ramas de desarrollo. Al 23 de octubre, la nueva categoría todavía no se había aplicado públicamente a ningún fallo específico.
El cambio pone fin a una política que retenía los detalles de errores de gravedad media y alta hasta dos semanas después del fin de vida de la última versión afectada, un plazo que podía acercarse a un año. El embargo, el período durante el cual se retienen los detalles de una vulnerabilidad hasta que las versiones corregidas están ampliamente implementadas, dependía de que los errores fueran difíciles de volver a descubrir. Las herramientas de IA debilitan esa suposición, por lo que los silencios prolongados ahora retrasan las correcciones más de lo que protegen a los operadores.
Cómo se aplicaba la antigua política
La práctica del proyecto queda de manifiesto en la divulgación de CVE-2024-52911. El error de gravedad alta de uso después de liberar memoria en la validación de bloques, que afectaba a las versiones posteriores a la 0.14.0 y anteriores a la 29.0 y permitía que un bloque no válido diseñado especialmente bloqueara un nodo, se notificó en noviembre de 2024, se corrigió en la versión 29.0 en abril de 2025 y se divulgó el 5 de mayo de 2026, unos 388 días después de la corrección. El patrón continúa: las notas de la versión 32.0 indican que tres errores de gravedad media o alta corregidos en la versión 30.0 permanecerán sin divulgar hasta dos semanas después del lanzamiento de la nueva versión.
La proporción que usa versiones sin soporte
Bitcoin Core solo mantiene sus tres líneas principales de versiones más recientes, actualmente 29.x, 30.x y 31.x. La instantánea de KIT del 18 de octubre contabilizó 3.671 de los 8.422 pares de Bitcoin Core que se identificaron a sí mismos usando líneas cuyo fin de vida ya había llegado; el resto usaba 31.x (3.243), 30.x (712) y 29.x (635). El recuento incluye únicamente pares públicos de IPv4 e IPv6, por lo que quedan fuera los nodos que solo usan Tor, los nodos que no aceptan conexiones entrantes y la infraestructura privada de exchanges, custodios y mineros. Quienes quieran conocer los conceptos básicos pueden empezar por aprender qué son los nodos de criptomonedas y cómo funcionan.
Se prevé que la proporción aumente. Cuando se publique la versión 32.0, la 29.x saldrá del período de mantenimiento, y una proyección basada en la instantánea sitúa a 4.306 de los 8.422 pares, o el 51,1 %, en líneas sin soporte si la muestra no cambia. Al 24 de octubre, la página sobre el ciclo de vida del proyecto aún indicaba que la fecha de lanzamiento de la versión 32.0 estaba por anunciarse (TBA), y en el directorio de descargas solo había versiones candidatas.
Core 32.0 también cambia el formato predeterminado de las transacciones de Bitcoin parcialmente firmadas de la versión 0 a la versión 2, algo importante para las configuraciones multifirma que combinan nodos antiguos y nuevos. Como Bitcoin no tiene una autoridad central que obligue a actualizar, la seguridad de la red depende de que los operadores decidan hacerlo.