Tóm tắt ngắn
- Thông báo bảo mật: Các nhà phát triển phần mềm nút mạng Bitcoin Core đã tiết lộ ba lỗ hổng bảo mật được báo cáo trong năm 2025 và sau đó đã được vá vào tháng 10 năm 2025.
- Rủi ro khai thác: Một lỗ hổng nghiêm trọng gây ra sự không nhất quán trong mempool bằng cách xóa các giao dịch mà không xóa các giao dịch con liên quan.
- Tác động đến mạng: Hai vấn đề mức độ trung bình liên quan đến sự chậm trễ trong xử lý khối và quyền truy cập danh sách trắng không mong muốn đối với một số kết nối Tor.
Bitcoin Core đã công khai tiết lộ ba lỗ hổng bảo mật đã được vá, bao gồm một lỗ hổng nghiêm trọng có thể ngăn một số nút mạng khai thác tạo các mẫu khối hợp lệ. Các vấn đề này ban đầu được báo cáo trong năm 2025, và các bản vá đã được phát hành vào tháng Mười năm đó. Giao thức cho biết các lỗ hổng này có mức độ nghiêm trọng khác nhau, nhưng mỗi lỗ hổng đều mang theo những hệ quả hoạt động tiềm ẩn đối với người vận hành nút và thợ mỏ.
Lỗi nghiêm trọng gây ra sự không nhất quán trong Mempool
Vấn đề nghiêm trọng nhất, được theo dõi dưới mã CVE-2025-62861, ảnh hưởng đến các phiên bản Bitcoin Core từ 28.0 đến 28.2 và 29.0 đến 29.1. Lỗ hổng này được báo cáo bởi Niklas Goegge vào ngày 26 tháng 9 năm 2025. Theo Bitcoin Core, các quy tắc xử lý giao dịch vẫn được áp dụng sau khi một số giao dịch quay trở lại mempool sau khi tái tổ chức chuỗi.
Do đó, một giao dịch có thể bị xóa mà không xóa các giao dịch con của nó, tạo ra trạng thái mempool không nhất quán. Đối với thợ đào, hậu quả là đáng kể. Các nút mạng bị ảnh hưởng cần được khởi động lại trước khi có thể tạo lại các mẫu khối hợp lệ, khiến lỗi này đặc biệt quan trọng đối với các hoạt động khai thác phụ thuộc vào hiệu suất liên tục của nút mạng.
Hai lỗ hổng bảo mật mức độ trung bình bổ sung
Một lỗ hổng thứ hai được báo cáo đối với Bitcoin Core vào tháng 4 năm 2025 đã được xác định là CVE-2025-62859. Nhà nghiên cứu Eugene Siegel phát hiện rằng một peer độc hại có thể khai thác sự biến dạng chứng từ trong các khối nén để làm chậm quá trình xử lý khối lên đến 10 phút. Cảnh báo do Bitcoin Core phát hành ghi nhận rằng cuộc tấn công có thể được lặp lại vô hạn đối với các nút mạng đang chạy ở chế độ “-blocksonly” hoặc trong các tình huống mà kẻ tấn công kiểm soát cả ba peer có băng thông cao.
Vấn đề danh sách cho phép của Tor cũng đã được giải quyết
Lỗ hổng thứ ba được Bitcoin Core công bố, CVE-2025-62860, liên quan đến các nút mạng sử dụng cài đặt tùy chọn “-whitelist”. Trong một số cấu hình, các peer Tor đầu vào có thể nhận quyền danh sách trắng nếu địa chỉ IP của proxy nằm trong phạm vi được phép. Bitcoin Core cho biết hàng ngàn nút mạng chính có thể truy cập đã cho phép kết nối Tor đầu vào, làm giảm một số biện pháp bảo vệ chống tấn công từ chối dịch vụ và các biện pháp bảo vệ quyền riêng tư.
Các nút mạng không sử dụng cài đặt danh sách trắng không phải mặc định đã không bị ảnh hưởng. Bitcoin Core 30.0 bao gồm các bản sửa lỗi cho cả ba lỗ hổng vào ngày 10 tháng 10 năm 2025, tiếp theo là phiên bản 29.2 vào ngày 14 tháng 10. Phiên bản Bitcoin Core cuối cùng bị ảnh hưởng đã kết thúc vòng đời vào ngày 27 tháng 10, theo các thông báo cảnh báo.