Cómo verificar una descarga de Bitcoin Core (SHA256 y GPG)

La integridad y la seguridad del software de los nodos de Bitcoin (en inglés) son fundamentales para que la red funcione sin depender de la confianza. Como Bitcoin Core es la principal implementación de referencia del protocolo de Bitcoin, conviene entender cómo se distribuye y verifica, sobre todo a medida que salen versiones y aparecen nuevos canales de distribución.

El desarrollo descentralizado de Bitcoin permite obtener Bitcoin Core de varias fuentes legítimas. Contar con varias fuentes es una ventaja, aunque puede confundir. Los distintos puntos de distribución favorecen la disponibilidad y la resistencia a la censura, pero tú debes verificar la autenticidad de las fuentes de software que uses.

Las compilaciones reproducibles y la verificación criptográfica son esenciales para el modelo de seguridad de Bitcoin. Varios desarrolladores de confianza firman cada versión de Bitcoin Core, lo que crea una red de confianza en la que puedes apoyarte para verificar la autenticidad del software. Para ello, comprueba las firmas PGP y compara los hashes SHA256 de los binarios descargados con las sumas de comprobación publicadas.

Bitcoin Core se desarrolla con cuidado. Cada versión mayor pasa por pruebas exhaustivas y revisión por pares antes de publicarse. Así se preserva la estabilidad de la red a la vez que se incorporan mejoras y actualizaciones de seguridad. Las versiones siguen el formato MAYOR.MENOR. El proyecto intenta publicar una versión mayor aproximadamente cada seis meses y lanza versiones de mantenimiento, como la 31.2, para corregir errores. El proyecto indica que esta numeración no sigue el versionado semántico.

A medida que crece el ecosistema de Bitcoin, importa cada vez más conocer los canales oficiales de distribución. Descarga los archivos de bitcoincore.org, el sitio del proyecto. bitcoin.org también ofrece Bitcoin Core, pero va por detrás. A fecha de noviembre de 2026, todavía ofrece la versión 31.0, mientras que bitcoincore.org tiene la 32.1. Sea cual sea la fuente, verifica los archivos antes de ejecutarlos. Así se aplica un principio de Bitcoin: «No confíes, verifica».

La relación entre el software de un nodo y la seguridad de la billetera merece atención. Un nodo con software comprometido podría alterar la retransmisión de transacciones o la conexión a la red, pero una medida como usar una billetera de hardware (en inglés) aporta una protección importante a tus claves privadas. Estas capas de seguridad muestran por qué conviene conocer las distintas vías de ataque y cómo reducir el riesgo.

La seguridad del software del nodo afecta tanto a cada usuario como a la resistencia de la red. Cada nodo bien verificado que funciona correctamente refuerza la arquitectura descentralizada de Bitcoin. Aprender a verificar el software correctamente ayuda a mantener la seguridad de la red.

El proceso de desarrollo de Bitcoin Core sigue incorporando medidas de seguridad y mecanismos de distribución. Las compilaciones reproducibles, las publicaciones deterministas y las mejoras en las herramientas de verificación reflejan el compromiso de la comunidad con mantener un nivel de seguridad alto y accesible para usuarios con distintos conocimientos técnicos.

La lección de fondo está clara. En el mundo de las criptomonedas, conviene que la seguridad y la verificación se vuelvan habituales. Tanto para el software del nodo como para una billetera u otro componente crítico, establece y mantén prácticas de seguridad que respeten el principio de Bitcoin de verificar por tu cuenta.

Guía paso a paso

Verificar Bitcoin Core antes de instalarlo protege tu nodo de binarios manipulados y ataques a la cadena de suministro. Los siguientes pasos cubren desde la descarga hasta la confirmación de la instalación. La lección Cómo verificar el software de Bitcoin antes de instalarlo explica qué demuestra cada comprobación y aplica el método a Sparrow, las imágenes de sistema para nodos y el firmware de las billeteras de hardware.

Cómo encajan los cuatro pasos. Paso 1: descarga tres archivos de bitcoincore.org, el archivo para tu sistema, SHA256SUMS, una lista con un hash por archivo, y SHA256SUMS.asc, que contiene las firmas de quienes compilaron la versión, hechas sobre esa lista. Paso 2: importa las claves públicas de los compiladores desde GitHub, un servidor distinto, en el repositorio bitcoin-core/guix.sigs. Paso 3: con gpg --verify, usa las claves para comprobar las firmas y saber que los compiladores firmaron esa lista. Paso 4: con sha256sum o shasum --check, comprueba tu copia con la línea del archivo correspondiente en la lista. Las dos pruebas deben pasar. Las firmas avalan la lista, y la lista avala tu archivo. — **Las claves avalan la lista y la lista avala tu archivo.** Las claves proceden de GitHub y los archivos de bitcoincore.org, dos servidores distintos. Los pasos 3 y 4 deben dar un resultado válido antes de instalar.

Descarga los archivos de la versión de Bitcoin Core
Entra en bitcoincore.org/en/download/ y descarga tres archivos: el paquete binario para tu sistema operativo, SHA256SUMS y SHA256SUMS.asc, que contiene las firmas de los desarrolladores. Guarda los tres en la misma carpeta de tu computadora.
Importa las claves de firma de los desarrolladores de Bitcoin Core
Consigue las claves públicas PGP de quienes firman las versiones de Bitcoin Core. Están en la carpeta builder-keys del repositorio bitcoin-core/guix.sigs de GitHub. La página de descarga de Bitcoin Core da dos comandos: git clone https://github.com/bitcoin-core/guix.sigs y luego gpg --import guix.sigs/builder-keys/*. Si no tienes Git, la lección enlazada arriba muestra cómo descargar el repositorio como archivo ZIP e importar las mismas claves. Así obtienes las claves públicas necesarias para verificar las firmas de la versión.
Verifica las firmas PGP del archivo de sumas de comprobación
Ejecuta gpg --verify SHA256SUMS.asc SHA256SUMS en la terminal. Deberías ver varias líneas «Good signature» de desarrolladores conocidos de Bitcoin Core. Si alguna entrada muestra «BAD signature», detente de inmediato. Borra los archivos, vuelve a descargarlos de bitcoincore.org y repite la comprobación. Debería haber varias firmas válidas de desarrolladores reconocidos como mínimo. Después de cada una aparece una línea «Primary key fingerprint» con la huella de la clave primaria. Para asegurarte de que la clave pertenece a la persona que figura como responsable de la compilación, compara esa huella con la que hayas obtenido por otra vía, por ejemplo en el sitio web de esa persona o en la clave que importaste al verificar una versión anterior.
Verifica la suma de comprobación SHA256 del binario
Si usas Linux, ejecuta sha256sum --ignore-missing --check SHA256SUMS. Si usas macOS, ejecuta shasum -a 256 --ignore-missing --check SHA256SUMS. Los dos comandos, tal como aparecen en la página de descarga de bitcoincore.org, deben mostrar OK para el archivo que descargaste. Así confirmas que el binario descargado coincide con el hash publicado por los desarrolladores. Si usas Windows, ejecuta certutil -hashfile bitcoin-<version>-win64-setup.exe SHA256 y compara la salida con la línea correspondiente en SHA256SUMS. Por ejemplo, puedes comprobar bitcoin-32.1-win64-setup.exe, la versión vigente desde el 28 de octubre de 2026.
Contrasta la suma de comprobación con varias fuentes independientes
Compara el hash SHA256 con los resultados de quienes compilaron la versión. En el repositorio guix.sigs del paso 2, abre la carpeta de tu versión, por ejemplo 32.1. Cada persona que completó la compilación publicó allí un archivo all.SHA256SUMS. Su línea para tu archivo debe coincidir con la que tienes. La página de versiones de Bitcoin Core en GitHub remite a bitcoincore.org y carece de archivos y sumas de comprobación propios. Si el hash coincide entre estas compilaciones independientes, tienes una garantía sólida de que nadie manipuló el binario durante la distribución.
Instala y confirma qué versión está en ejecución
Instala Bitcoin Core. Después de abrirlo, entra en la consola (Window > Console) y escribe getnetworkinfo. Comprueba que el número de versión que muestra coincide con el de la descarga. Revisa el campo subversion para confirmar que la cadena de versión de Bitcoin Core es la esperada.
Programa recordatorios para verificar cada versión
Pon un recordatorio para repetir la verificación con cada versión nueva de Bitcoin Core. El proyecto procura publicar una versión mayor cada seis meses y saca versiones de mantenimiento entre medias. Solo mantiene las tres versiones principales más recientes. Sigue el canal de anuncios de bitcoincore.org (bitcoincore.org/en/announcements.xml) o activa las notificaciones de las versiones del repositorio en GitHub para enterarte de cuándo salen nuevas versiones.

Qué líneas buscar al verificar Bitcoin Core 32.1. En el paso 3, gpg --verify SHA256SUMS.asc SHA256SUMS muestra ocho líneas que empiezan por «Good signature from», una por cada persona que compiló y firmó la versión: Ava Chow, Ben Carman, Michael Ford, Oliver Gugger, Matthew Zipkin, sedited (Sebastian Kung), Sjors Provoost y Will Clark. Aquí se omiten sus direcciones de correo. Debajo de cada línea, gpg añade un aviso «WARNING» porque la clave no está certificada. Todo el mundo ve ese aviso hasta que certifica las claves por su cuenta. Significa que gpg no puede decirte a quién pertenece la clave. Por eso, compara la huella de «Primary key fingerprint» con la que esperabas para esa persona. En el paso 4, sha256sum --ignore-missing --check SHA256SUMS muestra una línea con el nombre de tu archivo que termina en «OK», por ejemplo bitcoin-32.1-x86_64-linux-gnu.tar.gz: OK. Si aparece «BAD signature» o si tu archivo aparece con «FAILED», detente. Borra los archivos, vuelve a descargarlos de bitcoincore.org y repite la comprobación. — **La verificación pasa si aparecen varias firmas válidas y después OK para tu archivo.** Esta es la salida para Bitcoin Core 32.1 a fecha de noviembre de 2026. En macOS, el segundo comando es shasum -a 256 con las mismas opciones. En Windows, certutil muestra el hash para que lo compares con la línea de tu archivo en SHA256SUMS.

Errores comunes que conviene evitar

Omitir la verificación de firmas PGP

Mucha gente descarga Bitcoin Core y comprueba solo el hash SHA256, sin verificar las firmas PGP del archivo de sumas de comprobación. Eso invalida la verificación, porque un atacante que controle el servidor de descarga puede sustituir el binario y el archivo SHA256SUMS a la vez. Las firmas PGP son el vínculo criptográfico con la identidad de los desarrolladores. Comprueba siempre las firmas antes del hash.

Alguien toma el control del servidor de descarga y sustituye dos archivos: el instalador y SHA256SUMS, con una línea que coincide con su instalador. Si solo compruebas la suma, su archivo coincide con su lista, el comando muestra OK e instalas su versión. Si también verificas las firmas, las de quienes compilaron la versión no coinciden con la lista sustituida, gpg muestra BAD signature y tú te detienes antes de instalar. Quien controla el servidor puede hacer que la lista coincida con su archivo. Solo las claves privadas de los compiladores producen una firma válida. Así que comprueba siempre las firmas. — **La suma de comprobación no identifica a quien escribió la lista.** Quien sustituye el instalador también puede sustituir SHA256SUMS y conseguir que la comprobación muestre OK. Si también sustituye SHA256SUMS.asc, gpg no encuentra ninguna clave conocida y sigue sin haber una firma válida de un compilador.

Confiar en una sola fuente de descarga

Depender de una sola web o réplica para descargar Bitcoin Core crea un punto único de fallo. Si esa fuente queda comprometida, te quedas sin una referencia independiente. Descarga del sitio oficial, pero compara el hash con las listas del repositorio guix.sigs, publicadas por varias personas que compilaron la versión, alojado en GitHub, un servidor distinto de bitcoincore.org. El uso de varias fuentes encaja con el modelo de confianza de Bitcoin.

Usar claves de firma desactualizadas

Los desarrolladores que firman las versiones de Bitcoin Core cambian con el tiempo. Si usas un llavero antiguo, puedes pasar por alto firmas válidas nuevas o seguir confiando en claves revocadas. Antes de cada verificación, actualiza tu llavero local con las claves más recientes del repositorio guix.sigs. Revisa también si hay certificados de revocación de claves.

Versiones de Bitcoin Core a fecha de noviembre de 2026. La 29.x, de abril de 2025, dejó de tener soporte el 27 de octubre de 2026. Las versiones sin soporte no suelen recibir correcciones de seguridad. Así que toca actualizar. La 30.x (octubre de 2025, última versión 30.4), la 31.x (abril de 2026, última versión 31.2) y la 32.x (octubre de 2026, última versión 32.1) siguen en mantenimiento. Las tres versiones principales más recientes reciben correcciones de errores y de seguridad. Sale una versión principal más o menos cada seis meses. La indicada es la última publicación de la versión principal más reciente, la 32.1. Cada versión que instales pasa por los cuatro pasos de esta guía: descarga los archivos de bitcoincore.org, actualiza las claves importándolas otra vez de guix.sigs, comprueba las firmas con gpg --verify y verifica tu archivo con sha256sum --check. — **Hay una versión mayor cada seis meses aproximadamente, y cada versión que instales pasa por la misma verificación.** Bitcoin Core mantiene las tres versiones principales más recientes y recomienda la última publicación de mantenimiento de la más reciente. Actualiza las claves de los compiladores cada vez, porque los firmantes cambian con el tiempo.

Ejecutar software sin verificar en un sistema con datos de la billetera

Instalar un binario de Bitcoin Core sin verificar en un sistema que guarda archivos de billetera o claves privadas expone las claves al robo. Un binario manipulado podría extraer wallet.dat o frases semilla sin avisar. Si por algún motivo tienes que saltarte la verificación, ejecuta el software en una computadora aislada y sin acceso a los datos de la billetera. Pasa a una instalación verificada antes de manejar fondos.

Pasar por alto la verificación con compilaciones reproducibles

Bitcoin Core admite compilaciones reproducibles (deterministas) mediante el sistema Guix. Cualquiera puede volver a compilar los binarios de la versión a partir del código fuente y confirmar que la salida es idéntica. Requiere más conocimientos técnicos, pero es la verificación más sólida posible. Si puedes hacerlo, es una herramienta de seguridad que vale la pena aprovechar.

Bitcoin Core 32.1 a fecha de noviembre de 2026. El repositorio bitcoin-core/guix.sigs de GitHub tiene una carpeta 32.1 con una subcarpeta por compilador: 15 en total. 13 han terminado la última fase y el archivo all.SHA256SUMS de cada uno es idéntico al SHA256SUMS que descargas de bitcoincore.org. 2 aún no han terminado la última fase, pero sus resultados hasta ese momento también coinciden. 8 de los 13 han firmado el SHA256SUMS.asc que descargas. 15 personas compilaron la 32.1 a partir del mismo código fuente con Guix, cada una en su computadora. Todas sus listas coinciden. Así que una compilación manipulada destacaría. — **Varias compilaciones independientes, un resultado idéntico.** Es la comprobación cruzada del paso 5. Abre la carpeta de tu versión en guix.sigs. El archivo all.SHA256SUMS de cada persona que terminó la compilación contiene para tu archivo la misma línea que el SHA256SUMS que descargaste. Compilar tú mismo la versión con Guix añade tu propio resultado a la comparación.

Preguntas frecuentes

¿Qué pasa si ejecuto una versión de Bitcoin Core que no pasa la verificación?

Si un binario no pasa la verificación PGP o la de la suma de comprobación, un tercero podría haberlo modificado. Entre los riesgos están los cambios en las reglas de consenso que podrían llevar a tu nodo a seguir otra cadena, las puertas traseras que filtren claves privadas o datos de la billetera y los cambios en la lógica de retransmisión que podrían retener o retrasar tus transacciones. El código de retransmisión no puede cambiar a qué dirección paga una transacción que ya firmaste, porque la firma cubre sus salidas. Una billetera manipulada puede sustituir la dirección antes de que firmes. Por eso debes comprobar la dirección en la pantalla de tu billetera de hardware. Borra el binario de inmediato, comunica el problema al equipo de seguridad de Bitcoin Core y vuelve a descargarlo de una fuente de confianza.

¿Cuántas firmas de desarrolladores cabe esperar en una versión de Bitcoin Core?

Las versiones recientes de Bitcoin Core han llevado entre ocho y dieciséis firmas de desarrolladores que participaron en las compilaciones reproducibles con Guix. La 32.1, la versión vigente a fecha de noviembre de 2026, tiene ocho. El número exacto varía según la versión. No hay un mínimo fijo, pero si ves menos de tres firmas válidas, conviene investigar más. En el repositorio guix.sigs puedes ver quién participó en la compilación de cada versión.

¿Puedo verificar Bitcoin Core si lo descargué hace meses?

Sí. Si todavía tienes el archivo binario original, puedes verificarlo en cualquier momento. Descarga SHA256SUMS y SHA256SUMS.asc de esa versión en bitcoincore.org/bin, importa las claves de firma y sigue el procedimiento habitual. Las sumas de comprobación y las firmas no caducan. Algunas versiones retiradas ya no están disponibles en bitcoincore.org. Los archivos de la 30.0 y la 30.1 se retiraron en enero de 2026 al descubrirse un error en la migración de billeteras. Para esas versiones, abre la carpeta correspondiente en guix.sigs. El archivo firmado all.SHA256SUMS de cada compilador aún enumera los archivos de la versión.

¿Es seguro verificar Bitcoin Core en Windows?

Windows admite el mismo proceso de verificación, aunque las herramientas son algo distintas. Usa Gpg4win para verificar las firmas PGP y el comando integrado certutil para calcular el hash SHA256. La verificación en sí es igual de segura en cualquier sistema operativo. El riesgo principal en Windows es que las herramientas de verificación estén comprometidas. Así que consigue Gpg4win de su fuente oficial y verifica también su instalador.

¿Tengo que verificar Bitcoin Core si lo compilo a partir del código fuente?

Compilar a partir del código fuente ofrece una garantía adicional, porque puedes examinar el código. Aun así, comprueba que el código fuente es auténtico. Usa git log --show-signature para verificar que una persona encargada del mantenimiento de Bitcoin Core ha firmado el commit de Git que vas a compilar. Compara también el hash del commit de Git con la versión etiquetada en el repositorio oficial para asegurarte de que compilas la versión prevista.

Recursos relacionados

Cómo proteger la infraestructura de un nodo de Bitcoin (en inglés)
Software para nodos de Bitcoin: Core y sus alternativas (en inglés)
Guía completa para configurar un nodo de Bitcoin
Por qué operar tu propio nodo de Bitcoin
Autocustodia de Bitcoin: cómo configurar el nodo y la billetera (en inglés)

Forma parte de nuestro curso de Bitcoin:Este tema se explica en Cómo verificar el software de Bitcoin antes de instalarlo, del curso Seguridad y privacidad avanzadas en Bitcoin.

Categoría: Seguridad en Bitcoin