Vulnerabilidad en el código de ejecución remota para mineros en Bitcoin Core: el 43% de los nodos no se ha actualizado

Según Protos el 5 de mayo, los desarrolladores de Bitcoin Core revelaron en el sitio web oficial una vulnerabilidad de alto riesgo, CVE-2024-52911. El fallo permite a los mineros, mediante la minería de bloques especialmente preparados, provocar el colapso remoto de los nodos de otros usuarios y, bajo condiciones específicas, ejecutar código. Debido a que la actualización de los nodos completos de Bitcoin es un comportamiento voluntario, actualmente se estima que aún alrededor de 43% de los nodos ejecutan software antiguo con la vulnerabilidad.

Detalles técnicos de la vulnerabilidad

De acuerdo con el anuncio oficial de Bitcoin Core y lo reportado por Protos el 5 de mayo, CVE-2024-52911 es una vulnerabilidad de seguridad de memoria de tipo “uso después de liberar” (Use-After-Free), presente en el mecanismo de validación de scripts en paralelo de Bitcoin Core. Durante la validación de bloques, Bitcoin Core calcula previamente y guarda en caché los datos de entrada de las transacciones, y asigna el trabajo de validación de scripts a un hilo de respaldo; cuando dicho hilo de respaldo lee datos en caché que ya fueron destruidos por CScriptCheck, podría producirse ejecución remota de código.

El desarrollador de Bitcoin Core Niklas Gögge indicó que se trata del primer fallo de “seguridad de memoria” en la historia de Bitcoin Core. El anuncio oficial de Bitcoin Core confirmó que las reglas de consenso de Bitcoin no cambian debido a la corrección de esta vulnerabilidad.

Según lo informado por Protos, este ataque requiere que el minero emplee una gran cantidad de potencia de cómputo para minar bloques inválidos que no pueden obtener la recompensa del bloque; el costo es extremadamente alto. Por ello, el anuncio oficial de Bitcoin Core considera que, históricamente, es muy probable que la vulnerabilidad nunca haya sido explotada de manera real.

Cronograma de divulgación responsable

Según el anuncio oficial de Bitcoin Core y lo reportado por Protos el 5 de mayo, el cronograma de divulgación de CVE-2024-52911 es el siguiente:

Noviembre de 2024: el desarrollador Cory Fields descubrió la vulnerabilidad y la reportó en privado

Noviembre de 2024 (4 días después del descubrimiento): Pieter Wuille envió la propuesta de corrección PR #31112

Diciembre de 2024: PR #31112 se fusionó en el entorno de producción

Abril de 2025: se publicó Bitcoin Core v29.0, que incluye la corrección

19 de abril de 2026: el último conjunto de versiones con vulnerabilidad (28.x) dejó de recibir mantenimiento

5 de mayo de 2026: Bitcoin Core divulgó públicamente esta vulnerabilidad en el sitio web oficial

Estado actual de la corrección

Según lo reportado por Protos el 5 de mayo, debido a que la actualización de los nodos completos de Bitcoin es voluntaria y las actualizaciones no se ejecutan automáticamente, se estima que aproximadamente 43% de los nodos de Bitcoin aún ejecutan versiones con vulnerabilidad anteriores a v29. Bitcoin Core recomienda a los operadores de nodos actualizar a v29.0 o una versión posterior.

Preguntas frecuentes

¿Cuál es el impacto de CVE-2024-52911 en los nodos de Bitcoin?

Según el anuncio oficial de Bitcoin Core, CVE-2024-52911 permite a los mineros, mediante la minería de bloques especialmente preparados, provocar el colapso remoto de nodos de Bitcoin Core con versiones 0.14.1 hasta 28.4, y ejecutar código remoto bajo condiciones específicas. Las reglas de consenso de Bitcoin no cambian debido a la corrección de esta vulnerabilidad.

¿Cómo deben responder los operadores de nodos ante CVE-2024-52911?

Las versiones afectadas por CVE-2024-52911 son Bitcoin Core 0.14.1 hasta 28.4. Los operadores de nodos deben actualizar a v29.0 o una versión posterior. La última versión 28.x que tenía vulnerabilidad dejó de recibir mantenimiento el 19 de abril de 2026.

¿CVE-2024-52911 se ha explotado alguna vez de manera real?

De acuerdo con el anuncio oficial de Bitcoin Core y lo reportado por Protos el 5 de mayo, este ataque requiere que el minero use una gran cantidad de potencia de cómputo para minar bloques inválidos que no pueden obtener la recompensa del bloque; el costo es extremadamente alto. Bitcoin Core considera que, históricamente, es muy probable que la vulnerabilidad nunca haya sido explotada de manera real.