Кратко
- Раскрытие информации о безопасности: Разработчики программного обеспечения Bitcoin Core сообщили о трёх уязвимостях, которые были обнаружены в 2025 году и устранены в октябре 2025 года.
- Риск майнинга: уязвимость высокой степени тяжести вызвала несогласованность в mempool из-за удаления транзакций без очистки связанных потомков.
- Влияние на сеть: Две проблемы средней серьезности связаны с задержками обработки блоков и непреднамеренными разрешениями вайтлиста для некоторых подключений Tor.
Bitcoin Core публично раскрыл три ранее устранённые уязвимости безопасности, включая уязвимость высокой степени серьёзности, которая могла препятствовать созданию действительных шаблонов блоков некоторыми майнинговыми нодами. Проблемы были первоначально сообщены в 2025 году, а исправления были выпущены в октябре того же года. Протокол заявил, что уязвимости различались по степени серьёзности, но каждая из них несла потенциальные операционные последствия для операторов нод и майнеров.
Выявлен критический баг, вызвавший несогласованность в mempool
Самая серьезная проблема, зарегистрированная как CVE-2025-62861, затронула версии Bitcoin Core с 28.0 по 28.2 и с 29.0 по 29.1. Уязвимость была сообщена Никласом Гёгге 26 сентября 2025 года. Согласно Bitcoin Core, правила обработки транзакций продолжали применяться после возвращения определенных транзакций в mempool после переорганизации цепочки.
В результате транзакция могла быть удалена без удаления своих потомков, что приводило к несогласованному состоянию mempool. Для майнеров последствия были значительными: затронутые ноды требовали перезапуска, прежде чем они снова могли генерировать действительные шаблоны блоков, что делало этот дефект особенно актуальным для майнинговых операций, зависящих от бесперебойной работы нод.
Две дополнительные уязвимости средней степени тяжести
Вторая уязвимость, сообщённая против Bitcoin Core в апреле 2025 года, была идентифицирована как CVE-2025-62859. Исследователь Юджин Зигель обнаружил, что вредоносный пир может использовать мутацию свидетельств в компактных блоках для задержки обработки блоков до 10 минут. В уведомлении, выпущенном Bitcoin Core, отмечалось, что атака может быть повторена бесконечно против нод, работающих в режиме «-blocksonly», или в ситуациях, когда атакующий контролирует всех три высокополосных пира.
Проблема с внесением в белый список Tor также устранена
Третья уязвимость, раскрытая Bitcoin Core, CVE-2025-62860, затрагивала ноды, использующие необязательную настройку «-whitelist». При определённых конфигурациях входящие Tor-пировые соединения могли получать права из вайтлиста, если IP-адрес прокси входил в утверждённый диапазон. Bitcoin Core сообщила, что тысячи доступных мейннет-нод использовали вайтлист для входящих Tor-соединений, что ослабило некоторые защитные механизмы от атак типа «отказ в обслуживании» и средства обеспечения конфиденциальности.
Ноды, которые не использовали настройку вайтлиста по умолчанию, не были затронуты. Bitcoin Core 30.0 включал исправления для всех трех уязвимостей 10 октября 2025 года, за которым последовала версия 29.2 14 октября. Последняя уязвимая версия Bitcoin Core достигла конца срока поддержки 27 октября, согласно уведомлениям.