Se llama "Copy Fail". Una vulnerabilidad del kernel Linux descubierta por un investigador coreano utilizando inteligencia artificial. Afecta a cada servidor Linux desde 2017. Un script Python de 732 bytes es todo lo que se necesita para demostrar que cualquiera con acceso a un contenedor en un servidor compartido puede convertirse en root en toda la maquina — en segundos, sin dejar rastros en disco.
Divulgacion publica: 29 de abril de 2026. Dieciseis horas despues ya estaba en Dread, el Reddit de la dark web. Los exchanges de criptomonedas — que ejecutan tus fondos en clusters de Kubernetes compuestos por cientos de contenedores — aun no han terminado de desplegar el parche.
La pregunta es simple: tu exchange es seguro? La respuesta, ahora mismo, es: depende de lo rapido que hayan actualizado su kernel.
Que es CVE-2026-31431 "Copy Fail" — Explicado sin tecnicismos
El problema esta en un modulo del kernel llamado authencesn. A traves de una secuencia de operaciones (AF_ALG -> splice()), un usuario ordinario sin privilegios puede escribir 4 bytes en un area de memoria que no deberia tocar: el page cache — la version en memoria de cualquier archivo del sistema. Apuntar esa escritura al binario su produce una shell root — sin tocar jamas el archivo en disco.
Lo que hace esto diferente de casi cualquier otra vulnerabilidad:
- 🎯 100% confiable — sin race condition, funciona siempre
- 👣 Cero rastros en disco — el archivo nunca se toca, la forensia encuentra todo limpio
- 📦 732 bytes de Python puro — biblioteca estandar, sin dependencias externas
- 🖥 Portable — mismo script en Ubuntu, Amazon Linux, RHEL, SUSE
- 📅 Presente desde 2017 — casi una decada en el kernel, sin detectar
Descubierto por Taeyang Lee (Xint Code/Theori) usando analisis asistido por IA en aproximadamente una hora. PoC en GitHub. Sitio oficial: copy.fail.
Como afecta a los Exchanges de Criptomonedas — Kubernetes y Escape de Contenedores
Todos los grandes exchanges de criptomonedas funcionan con Kubernetes. El page cache se comparte a nivel de host — desde dentro de un contenedor, explotar esta vulnerabilidad significa escapar a root en todo el host, con acceso a todos los demas contenedores en el nodo, incluyendo aquellos que guardan las claves privadas de las wallets.
Escenario de ataque realista en un exchange:
- El atacante obtiene acceso a un contenedor (RCE web, amenaza interna, ataque a la cadena de suministro)
- Ejecuta el script de 732 bytes — toma segundos
- Se convierte en root en el host de Kubernetes
- Accede a todos los secrets, contenedores y claves criptograficas del nodo
- Drena las wallets
Son los Exchanges vulnerables? Estado de los parches
Parche integrado en Linux mainline: 1 de abril de 2026 (commit a664bf3d603d). Versiones de kernel seguras: 6.18.22+, 6.19.12+, 7.0+.
Confirmados como vulnerables: Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1, SUSE 16. Los exchanges tipicamente actualizan kernels cada 4-8 semanas. Muchos servidores de produccion siguen ejecutando versiones vulnerables hoy.
La primera gran vulnerabilidad Linux descubierta por IA
CVE-2026-31431 fue identificada por Taeyang Lee (Xint Code/Theori) usando un sistema de analisis de IA en aproximadamente una hora.
"Odio la basura de IA pero esto es 100% una vulnerabilidad real y severa. Esto es efectivamente evidencia de que la deteccion de vulnerabilidades por IA se esta convirtiendo en una amenaza real. Podriamos ver una tercera ola de vulnerabilidades a medida que la gente empiece a analizar el kernel con IA." — Usuario de Dread, 18k puntos, 8 anos
Theori confirma que el mismo escaneo de IA encontro bugs adicionales de alta severidad en el kernel actualmente en divulgacion coordinada. Este es el comienzo de una nueva era en la investigacion de seguridad.
Que hacer ahora — Como proteger tus fondos
Usuarios de exchanges:
- ✅ Diversificar: no guardes todos los fondos en un solo exchange
- ✅ Self-custody: para cantidades significativas, usa una hardware wallet (Ledger, Trezor, Coldcard)
- ✅ Monitorear comunicaciones de tu exchange en las proximas horas/dias
- ✅ 2FA fuerte: usa una llave hardware (YubiKey) o app TOTP, nunca SMS
Operadores de exchanges:
- 🚨 Actualizar inmediatamente a kernel >= 6.18.22, 6.19.12 o 7.0
- 🚨 Verificar con
uname -ren todos los nodos del cluster - 🚨 Comprobar
lsmod | grep authencesn
Preguntas Frecuentes
Puede CVE-2026-31431 ser explotada de forma remota?
No. Requiere ejecucion de codigo local como punto de partida. En entornos Kubernetes, "local" incluye cualquier contenedor en el mismo host fisico.
Estan mis fondos en el exchange en riesgo inmediato?
No hay ataque confirmado en curso. El riesgo es potencial: un atacante con acceso previo a un contenedor en un exchange vulnerable podria escalar privilegios usando esta tecnica.
Como se si mi exchange ha parcheado?
Aun no existe una lista publica. Contacta directamente a tu exchange y monitorea su blog de seguridad para comunicaciones sobre CVE-2026-31431.
Publicado: 30 de abril de 2026 | Autor: Segugio
Related: Best Exchanges 2026 | MiCA Compliance 2026