Una IA encontró cómo tumbar los nodos de Bitcoin
Tres vulnerabilidades descubiertas por un escáner de IA. Bitcoin Core publicó el 28 de octubre tres fallos de seguridad, entre ellos uno que permite a cualquier par conectado tumbar un nodo que corra en Windows, macOS o BSD. El ataque consiste en inundar el nodo con datos hasta agotar su memoria.
El fallo tiene severidad media y se explota enviando datos urgentes por TCP, los que van fuera de banda. Los desarrolladores ya lo corrigieron en las versiones 29.5, 30.4, 31.2 y 32.1. No se asignó ningún CVE, algo que rompe con la costumbre de Bitcoin Core y que conviene tener en cuenta si alguien audita su inventario con ese criterio.
Lo interesante no es el fallo, es quién lo encontró. Salió de Project Loupe, una herramienta de escaneo de código construida por Elias Rohrer en Spiral, y lo validó un humano, Gregory Sanders. La política nueva del proyecto es clara: si una máquina puede encontrar el agujero rápido, no tiene sentido esconderlo durante un año. Se parchea y se publica.
El aviso viene con fecha de caducidad. Dentro de dos semanas se revelarán otras tres vulnerabilidades de severidad media y alta corregidas en la versión 30.0. Jameson Lopp, jefe de seguridad de Casa, dijo que el ritmo de descubrimiento de fallos se ha acelerado de forma exponencial en dos meses y medio. La misma herramienta que ayuda a tapar agujeros ayuda a encontrarlos para el otro lado.
Para el que tiene un nodo en casa la lección es aburrida y no admite interpretación: actualizar. No hay estrategia, no hay análisis técnico que salve al operador que dejó la versión de hace ocho meses porque “funciona”. La descentralización no protege a nadie que no reinicie el servicio.
