TL;DR
- Divulgação de Segurança: Os mantenedores do software de nó do Bitcoin Core revelaram três vulnerabilidades que foram relatadas durante 2025 e corrigidas em outubro de 2025.
- Risco de mineração: Uma falha de alta gravidade criou inconsistências no mempool ao remover transações sem limpar os descendentes relacionados.
- Impacto na Rede: Dois problemas de gravidade média envolveram atrasos no processamento de blocos e permissões de lista de permissões não intencionais para algumas conexões Tor.
Bitcoin Core divulgou publicamente três vulnerabilidades de segurança anteriormente corrigidas, incluindo uma falha de alta gravidade que poderia impedir alguns nodes de mineração de criar modelos de blocos válidos. As questões foram originalmente relatadas durante 2025, e correções foram lançadas em outubro daquele ano. O protocolo afirmou que as vulnerabilidades variavam em gravidade, mas cada uma apresentava consequências operacionais potenciais para operadores de nodes e mineiros.
Bug de alta gravidade criou inconsistências no mempool
O problema mais grave, rastreado como CVE-2025-62861, afetou as versões do Bitcoin Core 28.0 a 28.2 e 29.0 a 29.1. A vulnerabilidade foi relatada por Niklas Goegge em 26 de setembro de 2025. De acordo com o Bitcoin Core, as regras de processamento de transações continuaram a ser aplicadas após certas transações retornarem ao mempool após uma reorganização da cadeia.
Como resultado, uma transação poderia ser removida sem remover também seus descendentes, criando um estado inconsistente no mempool. Para miners, as consequências foram significativas. Os nós afetados precisavam ser reiniciados antes de poderem gerar novamente modelos de bloco válidos, tornando a falha particularmente relevante para operações de mineração que dependem de desempenho contínuo dos nós.
Duas vulnerabilidades adicionais de gravidade média
Uma segunda vulnerabilidade relatada contra o Bitcoin Core em abril de 2025 foi identificada como CVE-2025-62859. O pesquisador Eugene Siegel descobriu que um peer malicioso poderia explorar a malleação de witness em blocos compactos para atrasar o processamento de blocos em até 10 minutos. O aviso lançado pelo Bitcoin Core observou que o ataque poderia ser repetido indefinidamente contra nodes operando no modo “-blocksonly” ou em situações em que o atacante controlasse todos os três peers de alta largura de banda.
Problema de whitelist de tor também resolvido
O terceiro bug divulgado pelo Bitcoin Core, CVE-2025-62860, envolvia nodes que utilizavam a configuração opcional “-whitelist”. Em certas configurações, pares Tor entrantes poderiam receber permissões de whitelist se o endereço IP do proxy estivesse dentro de um intervalo aprovado. O Bitcoin Core informou que milhares de nodes mainnet acessíveis estavam whitelistando conexões Tor entrantes, reduzindo algumas proteções contra ataques de negação de serviço e salvaguardas de privacidade.
Os nodes que não utilizaram a configuração de lista de permissões não padrão não foram afetados. O Bitcoin Core 30.0 incluiu correções para as três vulnerabilidades em 10 de outubro de 2025, seguido pela versão 29.2 em 14 de outubro. A última versão do Bitcoin Core vulnerável atingiu o fim da vida útil em 27 de outubro, segundo os avisos.