Коротко
- Розголошення безпеки: Розробники програмного забезпечення Bitcoin Core повідомили про три вразливості, які були виявлені протягом 2025 року і виправлені у жовтні 2025 року.
- Ризик майнінгу: серйозна вразливість, що викликала непослідовність у mempool через видалення транзакцій без очищення пов’язаних нащадків.
- Вплив на мережу: Дві проблеми середньої важливості стосувалися затримок обробки блоків та непередбачуваних дозволів на білий список для деяких підключень Tor.
Bitcoin Core публічно розкрив три раніше виправлені безпекові уразливості, включаючи уразливість високого рівня серйозності, яка могла перешкоджати деяким майнінг-нодам у створенні дійсних шаблонів блоків. Проблеми були спочатку повідомлені у 2025 році, а виправлення були опубліковані у жовтні того ж року. Протокол зазначив, що уразливості відрізнялися за рівнем серйозності, але кожна мала потенційні операційні наслідки для операторів нод і майнерів.
Виявлено критичну помилку, що спричинила непослідовність у mempool
Найсерйозніша проблема, відома як CVE-2025-62861, вплинула на версії Bitcoin Core з 28.0 по 28.2 і з 29.0 по 29.1. Цю вразливість повідомив Ніклас Гьоге 26 вересня 2025 року. За даними Bitcoin Core, правила обробки транзакцій продовжували застосовуватися після того, як певні транзакції повернулися до mempool після переорганізації ланцюга.
Як наслідок, транзакцію можна було видалити, не видаляючи її нащадків, що призводило до непослідовного стану mempool. Для майнерів наслідки були серйозними. Затронуті ноди потрібно було перезапустити, перш ніж вони знову могли генерувати дійсні шаблони блоків, що робило цей недолік особливо важливим для майнінгових операцій, які залежать від неперервної роботи нод.
Дві додаткові вразливості середньої серйозності
Друга вразливість, виявлена проти Bitcoin Core у квітні 2025 року, була ідентифікована як CVE-2025-62859. Дослідник Євген Зігель виявив, що зловмисний пір може використати мутацію свідчення в компактних блоках, щоб затримати обробку блоку до 10 хвилин. Попередження, опубліковане Bitcoin Core, зазначало, що атаку можна повторювати нескінченно проти нод, що працюють у режимі “-blocksonly” або у ситуаціях, коли атакуючий контролює всі три піри з високою пропускною здатністю.
Також вирішено проблему з вибірковим списком Tor
Третя вразливість, розкрита Bitcoin Core, CVE-2025-62860, стосувалася нод, що використовували необов’язкову налаштування «-whitelist». За певних конфігурацій надходячі Tor-піри могли отримувати дозволи з білого списку, якщо IP-адреса проксі-сервера входила в затверджений діапазон. Bitcoin Core повідомив, що тисячі доступних мейннет-нод включили білий список для надходячих Tor-з’єднань, що зменшило деякі захисти від атак типу denial-of-service та заходи конфіденційності.
Ноди, які не використовували налаштування білого списку за замовчуванням, не були вплинуті. Bitcoin Core 30.0 містить виправлення для всіх трьох уразливостей від 10 жовтня 2025 року, за яким слідує версія 29.2 від 14 жовтня. Останній вразливий реліз Bitcoin Core досяг кінця життєвого циклу 27 жовтня, згідно з повідомленнями.