Bitcoin Core ha revelado tres vulnerabilidades de seguridad descubiertas con la ayuda de un análisis mediante inteligencia artificial de su código fuente, lo que ha motivado parches y una revisión de cómo el proyecto gestionará la divulgación de futuros errores.
La más grave de las tres permitía a atacantes remotos provocar la caída de nodos que funcionan con Windows, macOS o BSD. Los equipos conectados podían transmitir volúmenes de datos suficientemente grandes como para agotar la memoria del nodo afectado, obligándolo a desconectarse. Los desarrolladores confirmaron el fallo el 23 de octubre y publicaron las correspondientes actualizaciones de seguridad el 27 de octubre.
Un segundo fallo permitía a los nodos conectados simular una versión obsoleta del protocolo y después bloquear la comunicación posterior, lo que provocaba la acumulación de mensajes en la memoria de la máquina objetivo. Según el aviso de seguridad, esto podía incrementar el uso de memoria en 2 megabytes por cada conexión entrante y en 5 megabytes por hora por cada conexión saliente, degradando progresivamente el rendimiento del nodo.
El tercer fallo tenía que ver con la forma en que se almacenan los datos durante las reorganizaciones de la cadena de bloques. Los mineros podían construir bloques diseñados específicamente para provocar un desbordamiento de los archivos correspondientes. En sistemas Windows y arquitecturas de 32 bits, esto podía hacer que el nodo fallara por completo, y el aviso señalaba que el problema no podía resolverse simplemente reiniciando el software. Ciertos sistemas de 32 bits y los nodos que dependen de soportes de almacenamiento FAT32 más antiguos siguen siendo vulnerables incluso después de la actualización.
Estos dos últimos problemas se identificaron mediante un análisis automatizado con IA del código de Bitcoin Core, en lugar de a través de una revisión manual convencional. Todos los hallazgos de ese proceso fueron después verificados por un desarrollador humano antes de ser confirmados y corregidos.
Una política de divulgación más rápida
Las divulgaciones llegan tras un cambio en la política de seguridad de Bitcoin Core fechado el 22 de octubre. Anteriormente, los desarrolladores a veces mantenían en reserva vulnerabilidades de gravedad media durante hasta un año, dando tiempo a los operadores de nodos para actualizar antes de que los detalles técnicos se hicieran públicos. Ese enfoque se está revisando ahora: dado que los modelos de lenguaje de gran tamaño pueden localizar este tipo de fallos con mayor facilidad que antes, los desarrolladores afirman que las vulnerabilidades de seguridad fáciles de descubrir se corregirán y documentarán públicamente con mayor rapidez a partir de ahora.
El proyecto ya ha anunciado que llegarán más divulgaciones. Los desarrolladores han comunicado planes para revelar otras tres vulnerabilidades de gravedad media y alta en las próximas dos semanas. Esos problemas, según el proyecto, ya se han corregido en Bitcoin Core 30.0, por lo que los operadores que utilizan la versión actual no están expuestos a ellos.
El episodio ilustra un cambio más amplio al que se enfrentan los proyectos de infraestructura de código abierto: el análisis de código asistido por IA puede sacar a la luz fallos latentes más rápido que las auditorías tradicionales, pero también reduce el margen en el que los mantenedores pueden corregir discretamente los problemas antes de que resulten también más fáciles de encontrar para los atacantes. Para una red cuyo software sustenta la custodia y la transferencia de bitcoin en todo el mundo, el equilibrio entre transparencia y exposición parece ser uno que los desarrolladores de Bitcoin Core están resolviendo ahora a favor de la rapidez.
