TL;DR:
- Bitcoin Core secara diam-diam memperbaiki CVE-2024-52911, kerentanan keamanan memori pertamanya, sebelum mengungkapkannya secara publik minggu ini.
- Kelemahan tersebut memengaruhi semua versi dari 0.14.0 hingga 28.x dan memungkinkan penambang untuk secara jarak jauh menghentikan node dengan blok yang tidak valid.
- Sekitar 43% dari node aktif masih akan menjalankan perangkat lunak sebelum versi 29.0, sehingga membuat mereka rentan.
Bitcoin Core secara rahasia memperbaiki kerentanan keamanan memori pertama dalam sejarah proyek ini, beberapa bulan sebelum mengungkapkannya secara publik. Kerentanan ini, dicatat sebagai CVE-2024-52911 dan diklasifikasikan sebagai tingkat keparahan tinggi, memengaruhi semua versi perangkat lunak antara 0.14.0 hingga 28.x, dan menciptakan kemungkinan bahwa penambang jahat dapat menyebabkan kegagalan jarak jauh pada node pihak ketiga melalui blok tidak valid yang dirancang khusus.
Kerentanan ini sesuai dengan *use-after-free* di mesin validasi skrip. Selama validasi blok, data yang telah dihitung sebelumnya yang disimpan dalam cache dapat dihancurkan sementara thread validasi latar belakang masih membacanya. Mengingat mekanisme dasarnya, eksploitasi ini tidak hanya memungkinkan penutupan node secara mendadak, tetapi juga membuka kemungkinan — meskipun kecil — eksekusi kode jarak jauh selama keadaan memori abnormal yang dihasilkan.
Bitcoin Core: Sebuah Patch Sunyi yang Melindungi Jaringan
Cory Fields, seorang peneliti di MIT Digital Currency Initiative, menemukan kerentanan tersebut dan secara pribadi melaporkannya pada 2 November 2024. Empat hari kemudian, pengembang Bitcoin Core Pieter Wuille menerapkan perbaikan rahasia, sengaja memberi judul “Improve parallel script validation error debug logging” untuk menghindari memberi tahu para penyerang potensial. Perbaikan tersebut dimasukkan ke dalam repositori pada Desember 2024 dan didistribusikan bersama Bitcoin Core v29.0 pada April 2025.
Pengungkapan publik hanya dilakukan setelah rangkaian versi 28.x mencapai akhir masa dukungan pada 19 April 2026. Pengembang Niklas Gögge mencatat bahwa ini adalah masalah keamanan memori pertama yang tercatat dalam sekitar dua tahun sejarah advis keamanan publik proyek ini, dan mengakui pengungkapan bertanggung jawab dari Fields.
Mengapa Tidak Ada Eksploitasi?
Elemen pencegah yang dibangun dalam vektor serangan juga layak mendapat perhatian: setiap penambang yang mencoba mengeksploitasinya harus membakar daya hash nyata pada blok tidak valid tanpa reward sama sekali — kerugian pasti yang kemungkinan menjelaskan mengapa kerentanan ini tetap tidak aktif dalam praktiknya.
Aturan konsensus bitcoin tidak terpengaruh sama sekali, karena bug tersebut terbatas pada penanganan memori perangkat lunak node. Namun, berdasarkan perkiraan dari dashboard Clark Moody, sekitar 43% node aktif masih menjalankan versi sebelum v29.0 dan tetap terpapar.