TL;DR
- सुरक्षा अनुज्ञापन: बिटकॉइन कोर नोड सॉफ्टवेयर रखरखावकर्ताओं ने 2025 के दौरान रिपोर्ट की गई तीन वैल्नरेबिलिटीज़ का खुलासा किया, जिन्हें अक्टूबर 2025 में पैच कर दिया गया।
- खनन जोखिम: एक उच्च-गंभीर दोष ने संबंधित उत्पादों को साफ किए बिना लेनदेन को हटाकर मेमपूल असंगतियाँ उत्पन्न कीं।
- नेटवर्क प्रभाव: दो माध्यमिक गंभीरता वाली समस्याओं में ब्लॉक-प्रोसेसिंग में देरी और कुछ Tor कनेक्शन के लिए अनुपयुक्त व्हाइटलिस्ट अनुमतियाँ शामिल थीं।
बिटकॉइन कोर ने तीन पहले से ठीक किए गए सुरक्षा दुर्बलताओं को जारी रूप से प्रकट किया, जिसमें एक उच्च-गंभीर दुर्बलता शामिल है जो कुछ माइनिंग नोड्स को मान्य ब्लॉक टेम्पलेट बनाने से रोक सकती है। ये मुद्दे मूल रूप से 2025 के दौरान रिपोर्ट किए गए थे, और उसी वर्ष अक्टूबर में ठीक किए गए थे। प्रोटोकॉल ने कहा कि इन दुर्बलताओं की गंभीरता अलग-अलग थी, लेकिन प्रत्येक के नोड संचालकों और माइनर्स के लिए संभावित संचालनात्मक परिणाम हो सकते हैं।
उच्च-गंभीरता वाली बग ने मेमपूल असंगतियाँ उत्पन्न कीं
सबसे गंभीर समस्या, जिसे CVE-2025-62861 के रूप में ट्रैक किया गया है, बिटकॉइन कोर संस्करण 28.0 से 28.2 और 29.0 से 29.1 को प्रभावित किया। इस दुर्बलता की रिपोर्ट 26 सितंबर, 2025 को निकलस गोएगे ने की। बिटकॉइन कोर के अनुसार, कुछ लेनदेन एक चेन रीऑर्गनाइजेशन के बाद मेमपूल में वापस आने के बाद भी लेनदेन प्रबंधन नियमों को लागू किया जाता रहा।
परिणामस्वरूप, एक लेन-देन को हटा दिया जा सकता था बिना उसके उत्पन्नों को हटाए, जिससे एक असंगठित मेमपूल अवस्था बन गई। माइनर्स के लिए, परिणाम महत्वपूर्ण थे। प्रभावित नोड्स को पुनः शुरू करना पड़ा ताकि वे फिर से मान्य ब्लॉक टेम्पलेट्स बना सकें, जिससे यह दोष अविराम नोड प्रदर्शन पर निर्भर करने वाले माइनिंग ऑपरेशन्स के लिए विशेष रूप से प्रासंगिक बन गया।
दो अतिरिक्त माध्यम-गंभीर दुर्बलताएँ
अप्रैल 2025 में बिटकॉइन कोर के खिलाफ रिपोर्ट की गई दूसरी कमजोरी को CVE-2025-62859 के रूप में पहचाना गया। शोधकर्ता यूजीन सीगेल ने पाया कि एक दुर्भावनापूर्ण पीयर कॉम्पैक्ट ब्लॉक में विटनेस मैलिएशन का दुरुपयोग करके ब्लॉक प्रोसेसिंग को अधिकतम 10 मिनट तक विलंबित कर सकता है। बिटकॉइन कोर द्वारा जारी सलाह में यह नोट किया गया कि हमला “-blocksonly” मोड में कार्यरत नोड्स के खिलाफ या उन स्थितियों में असीमित रूप से दोहराया जा सकता है, जहां हमलावर सभी तीन हाई-बैंडविड्थ पीयर्स पर नियंत्रण रखता है।
टॉर व्हाइटलिस्टिंग समस्या भी सुलझा दी गई है
बिटकॉइन कोर द्वारा उजागर किए गए तीसरे बग, CVE-2025-62860, में वैकल्पिक “-whitelist” सेटिंग का उपयोग करने वाले नोड शामिल थे। कुछ कॉन्फ़िगरेशन के अंतर्गत, आने वाले Tor पीयर्स को व्हाइटलिस्ट अनुमतियाँ प्राप्त हो सकती थीं यदि प्रॉक्सी का IP पता एक स्वीकृत रेंज के भीतर आता था। बिटकॉइन कोर ने कहा कि हजारों पहुँचने योग्य मेननेट नोड्स आने वाले Tor कनेक्शन्स को व्हाइटलिस्ट कर रहे थे, जिससे कुछ डिनियल-ऑफ-सर्विस सुरक्षा और प्राइवेसी सुरक्षाएँ कम हो गईं।
जिन नोड्स ने गैर-डिफ़ॉल्ट व्हाइटलिस्ट सेटिंग का उपयोग नहीं किया, वे अप्रभावित रहे। बिटकॉइन कोर 30.0 ने 10 अक्टूबर, 2025 को सभी तीन दुर्बलताओं के लिए सुधार शामिल किए, जिसके बाद 14 अक्टूबर को संस्करण 29.2 आया। अनुशंसाओं के अनुसार, अंतिम दुर्बल बिटकॉइन कोर प्रकाशन की समाप्ति तिथि 27 अक्टूबर थी।