У цьому матеріалі
У Bitcoin Core було виявлено вразливість, яка надавала вхідним з’єднанням Tor довірені права доступу до тисяч вузлів, усуваючи тим самим частину захисту від спаму та витоків конфіденційної інформації.
У повідомленні Bitcoin Core про безпеку, опублікованому 10 листопада, вразливість у Tor позначена як CVE-2025-62860. Розробники оприлюднили деталі разом з інформацією про дві інші вразливості після того, як підтримка останньої зачепленої серії релізів, 29.x, завершилася 27 жовтня.
Налаштування білого списку Bitcoin Core дозволяють трафіку Tor обходити обмеження
Згідно з повідомленням, вхідні з’єднання Tor відображалися для Bitcoin Core під IP-адресою програмного забезпечення Tor, яке зазвичай працювало на тому ж комп’ютері або в тій самій локальній мережі. Коли ця адреса збігалася з діапазоном, заданим за допомогою необов’язкового налаштування -whitelist, зовнішні з’єднання отримували дозволи, призначені для довірених з’єднань.
Використання білого списку знімає різні обмеження, що перешкоджають атакам типу «відмова в обслуговуванні», і забезпечує захист від витоку конфіденційної інформації. За словами розробників, популярні постачальники об’єднали Bitcoin Core з Tor і налаштували відповідні діапазони білого списку, у результаті чого тисячі доступних вузлів основної мережі приймають усі вхідні з’єднання Tor з відповідними привілеями.
Вузли, які ніколи не вмикали нестандартне налаштування, не були зачеплені цією вразливістю. У повідомленні зазначається, що Мартін Зумсанде та Антуан Пуансо виявили її та повідомили про неї групі безпеки 12 вересня 2025 року.
У своєї зміні коду Зумсанде пояснив, що вхідні з’єднання Tor не розкривають фактичної мережевої адреси співрозмовника, що робить зіставлення на основі адреси неефективним. Запропоноване ним виправлення виключило вхідні з’єднання Onion з дозволів білого списку. Розробники об’єднали його 17 вересня 2025 року.
Згідно з хронологією подій, компанія Poinsot повідомила зачеплених постачальників програмного забезпечення через два дні. Bitcoin Core 30.0 було випущено з виправленням 10 жовтня, за ним послідувала версія 29.2 14 жовтня. У повідомленні також зазначено, що виправлення внесено у версії 28.3 і подальші мінорні релізи.
Окрема помилка в майнінгу може призвести до зупинки створення шаблонів блокування
Вразливість у майнінгу, зареєстрована під номером CVE-2025-62861, отримала високий рівень серйозності. Вона зачепила версії 28.0–28.2 та 29.0–29.1.
У рекомендаціях Bitcoin Core описується проблема, що виникає під час реорганізації ланцюга, коли транзакції з роз’єднаних блоків повертаються до мемпулу — сукупності очікуючих транзакцій вузла.
Правила для транзакцій версії 3, відомих як транзакції TRUC, зазвичай обмежують зв’язки між непідтвердженими транзакціями. Проте під час реорганізації транзакції, що повертаються з дійсних блоків, мають обходити ці обмеження.
У результаті помилки правило заміни транзакцій залишалося активним протягом цього процесу. Воно могло видалити відновлену транзакцію, залишаючи при цьому транзакції, які залежать від неї, що призводило до невідповідності пула пам’яті.
У повідомленні йдеться, що за відсутності цих вхідних даних запропонований майнінговим вузлом шаблон блоку не пройде перевірку на коректність. Створення шаблону блоку не зможе відновитися до тих пір, поки перезапуск не перезавантажить пул пам’яті у відповідний стан.
Ніклас Геґґе повідомив про цю проблему 26 вересня 2025 року. У документації щодо виправлення розробник Ґреґ Сандерс пояснив, що пропуск перевірок TRUC під час реорганізацій був запланованою поведінкою, але відповідний аргумент обходу не перевірявся. Розробники внесли виправлення 2 жовтня.
Ще один недолік може призвести до багаторазових затримок обробки блоків
У третьому офіційному повідомленні, CVE-2025-62859, описується вразливість середнього ступеня серйозності, що зачіпає компактні блоки — метод ретрансляції блоків між вузлами, який дозволяє економити пропускну здатність мережі.
Зловмисник, який першим оголосив про компактний блок, міг змусити жертву запросити повний блок у того самого учасника мережі та чекати 10-хвилинного тайм-ауту. Затримка виникала через невдалу перевірку на наявність змінених даних свідка транзакції.
Згідно з отриманою інформацією, зловмисник, який контролює всі три високошвидкісні вузли жертви, міг би повторювати збій нескінченно. Вузли, що працюють з параметром -blocksonly, становили ще одну конфігурацію, у якій була можлива багаторазова затримка. Юджин Сіґел повідомив про цю вразливість 28 квітня 2025 року.
