- Розробники Bitcoin Core оприлюднили деталі трьох безпекових вразливостей, які могли впливати на роботу майнінгових вузлів і приватність користувачів Tor.
- Виявлені вразливості дозволяли порушувати роботу мемпулу після реорганізації блокчейна, затримувати обробку блоків до 10 хвилин і надавати Tor-з’єднанням привілейований доступ до тисяч нод.
- Виправлення для всіх трьох проблем увійшли до Bitcoin Core 30.0 і 29.2, випущених у жовтні 2025 року.
Розробники Bitcoin Core оприлюднили деталі про три раніше виправлені вразливості. Одна з них могла порушувати роботу майнінгових вузлів після реорганізації блокчейна, через що їм доводилося перезапускати програмне забезпечення для формування валідних шаблонів блоків.
Виправлення для всіх проблем розробники випустили в жовтні 2025 року.
Критичний баг міг порушувати роботу майнінгових вузлів
Найсерйознішою стала вразливість CVE-2025-62861, про яку 26 вересня 2025 року повідомив Ніклас Гьогге. Вона зачіпала Bitcoin Core версій 28.0-28.2 та 29.0-29.1.
Проблема була пов’язана з механізмом sibling eviction — правилами видалення пов’язаних транзакцій у межах політики TRUC. Після реорганізації блокчейна ці правила продовжували застосовуватися до транзакцій, які поверталися до мемпулу.
Унаслідок цього вузол міг видалити батьківську транзакцію, але залишити її дочірні транзакції. Це призводило до порушення узгодженості мемпулу та могло перешкоджати майнерам створювати валідні шаблони блоків. Для відновлення роботи ураженим вузлам доводилося перезапускати ноду.
Друга проблема, CVE-2025-62859, мала середній рівень небезпеки. Про неї у квітні 2025 року розповів Юджин Сігел.
Вразливість дозволяла зловмисному мережевому піру маніпулювати даними свідків (witness malleation) у компактних блоках, затримуючи їх обробку на строк до 10 хвилин. Атаку можна було повторювати без обмежень проти вузлів, запущених із параметром -blocksonly, або якщо зловмисник контролював усіх трьох високошвидкісних пірів вузла.
Третя вразливість, CVE-2025-62860, стосувалася обробки вхідних з’єднань через Tor. За певних налаштувань IP-адреса проксі-сервера могла потрапити до діапазону білого списку (-whitelist), через що підключені через нього вузли Tor отримували привілейований доступ.
Це могло послаблювати захист від DDoS-атак і знижувати рівень приватності. За даними Bitcoin Core, така конфігурація зачіпала тисячі доступних вузлів основної мережі (mainnet). Водночас ноди без відповідного нестандартного налаштування білого списку не були вразливими до цієї проблеми.
Виправлення випустили ще у 2025 році
Усі три вразливості усунули в оновленнях Bitcoin Core. Версію 30.0 випустили 10 жовтня 2025 року, а версію 29.2 — 14 жовтня. Остання вразлива версія програмного забезпечення, завершила життєвий цикл 27 жовтня 2025 року.
Нагадаємо, раніше у команді Bitcoin Core оприлюднили інформацію про три вразливості, знайдені за допомогою автоматизованого сканування коду великою мовною моделлю (LLM).
Сообщение Розробники Bitcoin Core розкрили деталі про три виправлені вразливості появились сначала на INCRYPTED.
