Bulletin
- Bitcoin Core a révélé trois vulnérabilités de sécurité désormais corrigées, affectant le logiciel exécutant la majorité des nœuds du réseau, concernant des problèmes de déni de service et de confidentialité, et non des failles permettant le vol ou la contrefaçon de pièces.
- L'une des plus graves pourrait compromettre la mémoire tampon des nœuds lors d'une réorganisation de la chaîne, empêchant les mineurs de générer des modèles de bloc avant redémarrage.
- Aucune de ces trois vulnérabilités n'atteint le niveau « critique » défini par Bitcoin Core, et aucun exploit n'a été signalé à ce jour.
Des développeurs principaux de Bitcoin ont révélé trois vulnérabilités de sécurité dans le logiciel exécutant la majorité des nœuds du réseau Bitcoin, dont une vulnérabilité critique pouvant perturber le minage ; toutes les problématiques ont été corrigées.
Ces vulnérabilités sont mentionnées dans un ensemble d'avis de sécurité et concernent des problèmes de déni de service et de vie privée, et non des failles permettant à des attaquants de voler des jetons ou de falsifier des bitcoins.
Bitcoin Core est le logiciel de référence qui exécute la majorité des nœuds du réseau. Ce logiciel classe les vulnérabilités en quatre niveaux, de « low » à « critical » ; les trois ici sont classées au niveau intermédiaire.
Le plus grave, numéroté CVE-2025-62861, concerne la création de modèles de bloc, soit le processus utilisé par les mineurs pour assembler de nouveaux blocs.
Selon l'annonce, un restructuration de la chaîne peut entraîner la suppression incorrecte de certaines transactions, perturbant ainsi la mémoire tampon des nœuds — c'est-à-dire la zone d'attente des transactions non confirmées — et empêchant les nœuds affectés de générer des modèles de bloc avant redémarrage. Pour les mineurs, cela signifie que la génération de récompenses de bloc est suspendue.
La deuxième vulnérabilité, CVE-2025-62859, pourrait permettre à un pair de ralentir le traitement des blocs par un nœud en annonçant un bloc compact avec un witness modifié ; il s'agit d'un problème de malléabilité des transactions.
La troisième vulnérabilité, CVE-2025-62860, est un problème de confidentialité et de sécurité : les connexions entrantes via le réseau anonyme Tor se voient incorrectement accorder des autorisations de « liste blanche », affaiblissant ainsi plusieurs protections contre les attaques par déni de service et la confidentialité des nœuds affectés.
Aucune de ces trois vulnérabilités n'atteint le niveau « critique » réservé par Bitcoin Core aux vulnérabilités qui menaceraient le protocole en permettant le vol de bitcoins, la création non autorisée de jetons ou une division permanente de la chaîne. Aucune preuve d'exploitation de ces vulnérabilités n'a non plus été signalée par les développeurs.
Ces divulgations s'inscrivent dans un contexte plus large : comment les défenseurs du bitcoin peuvent suivre l'évolution continue de l'environnement des menaces.
Bitcoin Core a récemment révisé sa politique de sécurité pour intégrer l'intelligence artificielle, ajoutant une nouvelle catégorie pour gérer les vulnérabilités « facilement détectables » qui peuvent être identifiées avec simplement une simple invitation à l'IA ; ces vulnérabilités seront désormais corrigées et divulguées immédiatement, plutôt que d'être maintenues secrètes sur le long terme.
Ce changement reflète une préoccupation croissante selon laquelle les grands modèles linguistiques abaissent le seuil pour découvrir des vulnérabilités. L'organisation de bénévoles « Bitcoin Red Team » accélère également la recherche de vulnérabilités détectables par l'IA dans l'écosystème entier, avant qu'elles ne soient exploitées par des attaquants.
Ces correctifs ont en réalité été publiés plus tôt, puis les annonces ont été divulguées selon le calendrier de disclosure de Bitcoin Core. Il est généralement recommandé aux opérateurs de nœuds d'utiliser le logiciel le plus récent pour rester protégés.
Newsletter quotidienne
Obtenez les dernières actualités en tête de journée, ainsi que des contenus originaux tels que des articles en profondeur, des podcasts et des vidéos.