Fallo crítico de Linux en los stake pools de Cardano: los ADA delegados no corren peligro

Intersect, la organización de gobernanza de Cardano, pidió a finales de octubre a los operadores de stake pools que actualizaran sus servidores a un nuevo kernel de Linux. La petición afecta a los dos tipos de máquina de un pool: el productor de bloques y los relays que lo conectan con la red. Lo que está confirmado: la vulnerabilidad lleva el identificador CVE-2026-98432, el sistema de seguimiento de seguridad de Ubuntu le asigna una puntuación CVSS 3 de 9,8 sobre 10 y la clasificación «Critical», y nadie ha contado todavía cuántos de los 2.884 pools de Cardano registrados usan un kernel vulnerable. Nuestra valoración figura más abajo: el fallo no cambia nada en el saldo de los ADA delegados, pero sí puede afectar a la recompensa de la época en curso.

El aviso de Intersect a los stake pools de Cardano, punto por punto

El aviso llegó a los operadores el 30 de octubre y consta de tres instrucciones que cualquier administrador de sistemas conoce: comprobar el kernel en uso en el productor de bloques y en los relays, instalar el kernel corregido en cuanto lo publique la distribución y reiniciar después. El reinicio es inevitable en una actualización del kernel, porque el antiguo sigue funcionando hasta entonces.

El aviso presenta expresamente dos medidas como provisionales y no como una solución: una regla de cortafuegos que descarta los paquetes peligrosos y la desactivación de MPTCP, una extensión del protocolo de red. Ninguna de las dos cierra el fallo del kernel, solo estrechan el camino hacia él. Hasta hoy nadie ha comunicado un ataque contra la infraestructura de los pools de Cardano, tampoco Intersect.

La semana anterior muestra con qué frecuencia Cardano pide a sus operadores que actúen. Cuando publicamos nuestro artículo del 31 de octubre, la votación sobre 9,6 millones de ADA de la tesorería seguía abierta hasta el 20 de noviembre y el precio estaba justo por debajo de 0,20 dólares. El lunes a mediodía ADA cotiza a 0,1906 dólares, con una caída del 6,3 % en siete días y del 21,4 % en 30 días según CoinGecko. La cuestión de gobernanza de entonces sigue abierta y la cuestión técnica de hoy se suma a ella.

CVE-2026-98432: el error está en el handshake IPv4 del kernel

Un use-after-free es un error de programación en el que un software accede a memoria que ya ha liberado. Lo que haya en esa memoria para entonces puede, en determinadas condiciones, decidirlo un atacante, y ahí reside el peligro.

En este caso ocurre al establecer conexiones IPv4 entrantes. Según la descripción del sistema de seguimiento de Ubuntu, un socket hijo puede liberarse mientras todavía se leen sus opciones IP, lo que provoca un use-after-free en la función del kernel ip_options_build(). Lo desencadenan los paquetes SYN enviados de forma repetida, es decir, el primer paquete de toda conexión, junto con la migración de un socket de petición entre procesos. La corrección solo libera la memoria tras un periodo de gracia. IPv6 no está afectado por este primer fallo.

La puntuación de 9,8 se explica porque el ataque se realiza a través de la red, no requiere inicio de sesión y no necesita convencer a nadie para que colabore. Ubuntu fija su propia prioridad en «High». El error está en el kernel desde la versión 4.4, es decir, desde principios de 2016, lo que lo hace posible en prácticamente cualquier kernel de servidor en producción.

Su alcance es objeto de debate. Anthropic informó el 27 de octubre de que un modelo interno de investigación había construido un ataque funcional que obtiene privilegios de root a distancia contra un servicio MPTCP; el código del ataque no se ha publicado. El propio texto del CVE describe la ruta IPv4 habitual y no menciona MPTCP. Red Hat valora el fallo más bajo porque la ventana de tiempo es difícil de acertar. A finales de octubre no figuraba en la lista de vulnerabilidades explotadas conocidas de la agencia estadounidense CISA.

Por qué los ADA delegados se quedan en tu propia wallet

La delegación en Cardano funciona de otra manera que en muchas ofertas que se presentan como staking. No envías monedas a un pool. Con tu clave de staking firmas un documento, el certificado de delegación, que indica a la red qué pool puede contar tu peso en la producción de bloques. Los ADA permanecen en tu dirección, disponibles en todo momento, sin periodo de bloqueo.

De ahí se deriva la frase más importante de este artículo: un pool comprometido no puede gastar los ADA delegados. Las claves de un pool le permiten firmar bloques, no mover saldos. Quien se haga con el control de un productor de bloques puede alterar o detener la producción de bloques, pero no puede acceder a las wallets de los delegadores.

El daño surge, por tanto, en otro lugar. Un pool que se cae pierde los bloques que la red le ha asignado para la época en curso. Los bloques perdidos no generan recompensa, y esa recompensa se reparte entre el operador y los delegadores. Una caída cuesta rentabilidad, no capital.

21.540 millones de ADA en 2.884 pools: el staking de Cardano en la época 665

Cuánto peso depende de esta infraestructura puede leerse en la propia blockchain de Cardano. El lunes a mediodía obtuvimos las cifras directamente de la blockchain a través de la interfaz Koios, en lugar de tomarlas de informes.

En la época 665 en curso hay 21.540.456.674 ADA delegados, es decir, unos 21.540 millones. Frente a los 36.820 millones de ADA en circulación, eso supone el 58,5 % de la oferta total; al precio del lunes de 0,1906 dólares equivale a un valor de mercado de unos 4.100 millones de dólares. Este peso se reparte entre 2.884 pools registrados.

A esta cifra se contrapone un valor del protocolo que rara vez se menciona: el parámetro k, que describe el número objetivo de pools, está fijado en 500. Hay, por tanto, casi seis veces más pools de los que prevé el modelo de recompensas. Para el fallo esto es a la vez una buena y una mala noticia. La buena es que ninguna caída aislada puede desestabilizar la red, porque la producción de bloques se reparte entre muchos operadores. La mala es que muchos pools pequeños los gestionan particulares en su tiempo libre, y una actualización del kernel en fin de semana necesita a alguien que la instale.

El plazo es concreto. La época 665 comenzó el 31 de octubre a las 22:44 hora alemana y termina el 5 de noviembre a la misma hora. Lo que un pool pierda en esta época queda fijado en cuanto termina, porque Cardano abona la recompensa de una época solo dos épocas después, unos diez días más tarde. Una redelegación hecha hoy también surte efecto solo con el siguiente cambio de época, no de inmediato.

Lo que está en juego lo muestra la última liquidación cerrada: en la época 662 la red repartió 6.146.980 ADA entre 21.390 millones de ADA delegados, es decir, un 0,0287 % por época o, calculado sobre 73 épocas al año, un 2,10 % anual. Para una posición de 10.000 ADA son algo menos de 2,9 ADA por época, unos 55 céntimos al precio del lunes. Si quieres comparar proveedores y condiciones, tienes la visión general en nuestra comparativa de las mejores plataformas de staking.

El estado del parche de Linux en las distribuciones

Que un operador pueda actuar depende de su distribución de Linux. La situación es desigual, y esa es la verdadera razón por la que el aviso llegó antes del parche definitivo.

AlmaLinux publicó kernels corregidos en su repositorio de pruebas el 30 de octubre: la versión 4.18.0-553.180.2.el8_10 para AlmaLinux 8, la 5.14.0-687.61.2.el9_8 para AlmaLinux 9 y la 6.12.0-211.69.2.el10_2 para AlmaLinux 10. En su propio aviso sobre CVE-2026-98432 el proyecto describe también las medidas provisionales, entre ellas una regla de nftables que descarta los paquetes IPv4 entrantes con cabecera demasiado larga y que no sobrevive a un reinicio, así como la comprobación de si MPTCP está activo.

En Ubuntu la situación es distinta. El sistema de seguimiento de seguridad de Ubuntu clasifica los kernels de 26.10, 26.04 LTS, 24.04 LTS y 22.04 LTS como vulnerables con trabajo en curso para corregirlos, mientras que 20.04, 18.04 y 16.04 figuran como vulnerables sin trabajo en marcha. Solo la antigua 14.04 se considera no afectada. En Red Hat la corrección seguía pendiente a finales de octubre.

Para un operador esto significa que quien usa AlmaLinux pudo actuar el fin de semana. Quien usa Ubuntu LTS, el caso más habitual en hardware de servidor, solo pudo aplicar las medidas provisionales y tuvo que esperar. Precisamente esa ventana es la razón para revisar tu delegación ahora y no en diciembre.

Producción de bloques y saturación: dos valores del perfil del pool

La situación de tu pool aparece en cualquier explorador de Cardano, y bastan dos valores para valorarla.

El primero es la producción de bloques de la época en curso, es decir, el número de bloques asignados frente al de bloques realmente producidos. Un pool al que la red ha asignado bloques y que no ha entregado ninguno tiene un problema, sea la causa un kernel, un fallo de disco o un certificado caducado. Con los pools pequeños conviene tener paciencia: si a un pool solo le corresponden uno o dos bloques por época, un cero es posible incluso sin avería.

El segundo valor es la saturación. Del parámetro k de 500 y de los 36.820 millones de ADA en circulación resulta un punto de saturación de unos 73,6 millones de ADA por pool. A partir de ese límite la recompensa del pool deja de crecer aunque aumente el peso delegado, y cada ADA adicional rinde menos. A ello se suma la comisión fija por época, que en el protocolo está ahora en 170 ADA. En un pool diminuto pesa proporcionalmente mucho más que en uno grande.

Un tercer punto no es una cifra ni un indicador, pero hoy es el más importante: ¿responde tu operador a una pregunta sobre la versión del kernel y explica públicamente lo que está haciendo? Los pools que mantienen un canal o una página de estado pueden comprobarse en días como este. Los que no dejan ningún rastro en la red, no.

El staking de Cardano en Alemania: impuestos, plazo de tenencia y custodia

Dos puntos afectan a los inversores alemanes al delegar; no tienen nada que ver con el fallo, pero se aplican a cada cambio de pool.

En el plano fiscal, la circular del Ministerio Federal de Finanzas del 6 de marzo de 2025 clasifica los rendimientos del staking como otros ingresos por prestaciones según el § 22 n.º 3 EStG. Se aplica un límite exento de 256 euros por año natural, que abarca todos los demás ingresos por prestaciones juntos, no solo el staking. Si se supera el límite, tributa el importe completo y no solo la parte que lo excede. Con la rentabilidad anual del 2,10 % que arroja la blockchain para la época 662, ese límite solo se acerca con una posición de más de 60.000 euros.

Los propios ADA están sujetos al § 23 EStG con su plazo de tenencia de un año, y delegar no lo prolonga. Seguimos de forma continua qué ocurre con la reforma prevista en nuestro estado de la reforma del plazo de tenencia de criptomonedas, porque todavía falta una decisión del Gobierno. Lo importante para la cuestión de hoy: una redelegación no es una enajenación. No mueves monedas, firmas un nuevo certificado y el plazo de tenencia de tus ADA sigue corriendo.

En cuanto a la custodia, la clave de staking sigue en tu poder. Una hardware wallet puede firmar ella misma el certificado de delegación, y la clave no sale del dispositivo. Solo se paga la comisión de transacción de unos céntimos. Quien hace staking a través de un exchange deja en cambio la elección del pool en manos del custodio, y allí este análisis no se aplica.

Nuestra valoración: el riesgo está en la rentabilidad

Nuestra valoración: este fallo es urgente para los operadores de pools y, para los delegadores, sobre todo una cuestión de rentabilidad. Tres datos lo respaldan. La puntuación de 9,8 y los kernels aún sin corregir de las grandes versiones LTS de Ubuntu muestran que el problema en el lado del servidor es real y no está resuelto. Aun así, no se ha comunicado ningún ataque, y a finales de octubre el identificador no figuraba en la lista de vulnerabilidades explotadas de CISA. Y la delegación en sí no da a un pool ningún derecho a mover saldos.

Lo que habla en contra va en el mismo párrafo. Si la vía hacia los privilegios de root descrita por Anthropic funciona también fuera de MPTCP, ya no se trata solo de la caída de un relay, sino de la toma de control de máquinas que firman bloques. Un atacante podría sabotear entonces la producción de bloques de un pool, provocar firmas dobles y causar daños al operador. Ni siquiera así llegaría a los ADA de los delegadores, pero una época sin bloques es una época sin recompensa.

En cifras, el daño para una posición normal sigue siendo pequeño. Si tu pool pierde una época entera, eso cuesta unos 2,9 ADA por cada 10.000 ADA delegados, unos 55 céntimos al precio del lunes. No es motivo para precipitarse con la delegación, pero sí una buena razón para comprobar una vez dónde está tu peso. No se trata en absoluto de una recomendación de compra o venta: ADA cotiza un 93,8 % por debajo de su máximo histórico de 3,09 dólares, y una pérdida total es posible en cualquier momento con los criptoactivos.

Fallo de Linux en los pools: la época 665 termina el 5 de noviembre

Hasta el cambio de época del 5 de noviembre a las 22:44 hora alemana hay tiempo para comprobar con calma si tu peso está bien colocado. Bastan tres pasos.

1. Revisar el pool. Abre el perfil de tu pool en un explorador y compara los bloques asignados con los producidos en la época 665. Si aparece un cero pese a varios bloques asignados, pregunta al operador por la versión de su kernel. Las alternativas y sus comisiones figuran en nuestra comparativa de las mejores plataformas de staking.
2. Comprobar las claves. Asegúrate de que tu clave de staking está en tu poder y de que el certificado de delegación se firmó desde tu propio dispositivo. Qué dispositivos pueden hacerlo lo muestra nuestra comparativa de hardware wallets.
3. Aclarar la custodia. Si tus ADA están en un exchange, no delegas tú mismo y la decisión sobre el pool la toma el custodio. Cómo lo hacen los proveedores y cuánto cobran lo explica nuestra comparativa de exchanges de criptomonedas.

(2 de noviembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)