La organización Cardano llama a los operadores de pools a actualizar debido a una grave vulnerabilidad en Linux

Puntos clave de este artículo

• Ubuntu y RHEL no han proporcionado una versión corregida hasta el 30 de octubre
• Aproximadamente 21.3 mil millones de ADA están delegados, y el impacto esperado es principalmente en las recompensas

Solicitud de actualización y reinicio a los SPO

Intersect, la organización de membresía que respalda la gobernanza de Cardano (ADA), hizo un llamado a los operadores de pools de participación (SPO) en su actualización semanal del 30 de octubre para abordar una grave vulnerabilidad en el núcleo de Linux, identificada como "CVE-2026-98432". Se les solicita que verifiquen la versión del núcleo en ambos, el servidor de generación de bloques y el servidor de retransmisión, y que apliquen la actualización y reinicien tan pronto como su distribución publique la versión corregida.

La gravedad de la vulnerabilidad se indica con un puntaje CVSS de 9.8 sobre 10, clasificándose como "Crítica". El defecto se encuentra en el manejo de conexiones TCP IPv4 desde el exterior, y si se explota, puede causar la detención del servidor y, bajo ciertas condiciones, permitir la manipulación externa sin autenticación. La vulnerabilidad afecta a las versiones del núcleo a partir de la 4.4. Intersect no ha informado de casos de explotación dirigidos a los pools de Cardano.

Cardano utiliza un sistema de Prueba de Participación (PoS), donde los poseedores de ADA delegan su ADA a un pool de participación, y los SPO que operan el pool se encargan de la generación de bloques. Muchos de los SPO operan nodos en servidores Linux, por lo que esta advertencia se dirige a los operadores y no a los poseedores comunes.

El núcleo de Linux (upstream) incorporó la corrección a principios de octubre. Sin embargo, la respuesta de las distribuciones que utilizan los SPO varía; hasta el 30 de octubre, Ubuntu estaba en proceso de corrección, Red Hat Enterprise Linux (RHEL) estaba preparando una versión corregida, y AlmaLinux solo había proporcionado un núcleo corregido en un repositorio de pruebas. Intersect insta a los operadores a no asumir que su entorno ya está corregido y a verificar cada servidor.

Anthropic informa sobre la creación de código de ataque

Antes de esta advertencia, la empresa de IA estadounidense Anthropic reveló en un informe de investigación publicado el 27 de octubre que un modelo Claude no publicado había creado código de ataque que explota esta vulnerabilidad. El objetivo son los servidores Linux que esperan conexiones de "TCP multipath (MPTCP)" que dividen una comunicación en múltiples rutas; en un entorno de prueba, se logró la ejecución de comandos con privilegios de administrador (root) en aproximadamente 53 minutos.

Anthropic ha informado que notificó la vulnerabilidad antes de su publicación, y el código de ataque en sí no ha sido publicado. La corrección se ha reflejado en todas las ramas del núcleo estable bajo mantenimiento. No hay menciones de MPTCP en los registros CVE del núcleo o en los parches de corrección, y el contenido del informe de la empresa no ha sido completamente verificado por terceros.

Impacto esperado en las recompensas de ADA delegadas

En la delegación de Cardano, el ADA no se mueve de la billetera del poseedor y puede ser enviado en cualquier momento durante la delegación. Incluso si el servidor del pool es comprometido, no hay un mecanismo para que el ADA del delegador sea robado directamente. Hasta el 31 de octubre, aproximadamente 21.3 mil millones de ADA estaban delegados, lo que representa alrededor del 57% de la circulación total (según Cardanoscan).

La preocupación radica en las recompensas. Si el servidor se detiene y la generación de bloques se interrumpe, las recompensas que reciben el pool y los delegadores disminuirán. En noviembre de 2025, Cardano experimentó otro problema que causó una bifurcación temporal de la cadena, pero no hubo daños a los fondos de los usuarios. En cuanto a esta vulnerabilidad, no se ha confirmado ninguna relación con la fuga de fondos o la pérdida de recompensas.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.