- Разработчики Bitcoin Core обнародовали детали трех уязвимостей безопасности, которые могли влиять на работу майнинговых узлов и приватность пользователей Tor.
- Обнаруженные уязвимости позволяли нарушать работу мемпула после реорганизации блокчейна, задерживать обработку блоков до 10 минут и предоставлять Tor-соединениям привилегированный доступ к тысячам нод.
- Исправления для всех трех проблем вошли в Bitcoin Core 30.0 и 29.2, выпущенные в октябре 2025 года.
Разработчики Bitcoin Core обнародовали детали о трех ранее исправленных уязвимостях. Одна из них могла нарушать работу майнинговых узлов после реорганизации блокчейна, из-за чего им приходилось перезапускать программное обеспечение для формирования валидных шаблонов блоков.
Исправления для всех проблем разработчики выпустили в октябре 2025 года.
Критический баг мог нарушать работу майнинговых узлов
Наиболее серьезной стала уязвимость CVE-2025-62861, о которой 26 сентября 2025 года сообщил Никлас Гьогге. Она затрагивала Bitcoin Core версий 28.0-28.2 и 29.0-29.1.
Проблема была связана с механизмом sibling eviction — правилами удаления связанных транзакций в рамках политики TRUC. После реорганизации блокчейна эти правила продолжали применяться к транзакциям, которые возвращались в мемпул.
В результате узел мог удалить родительскую транзакцию, но оставить ее дочерние транзакции. Это приводило к нарушению согласованности мемпула и могло мешать майнерам создавать валидные шаблоны блоков. Для восстановления работы затронутым узлам приходилось перезапускать ноду.
Вторая проблема, CVE-2025-62859, имела средний уровень опасности. О неи в апреле 2025 года рассказал Юджин Сигел.
Уязвимость позволяла злоумышленному сетевому пиру манипулировать данными свидетелей (witness malleation) в компактных блоках, задерживая их обработку на срок до 10 минут. Атаку можно было повторять без ограничений против узлов, запущенных с параметром -blocksonly, или если злоумышленник контролировал всех трех высокоскоростных пиров узла.
Третья уязвимость, CVE-2025-62860, касалась обработки входящих соединений через Tor. При определенных настройках IP-адрес прокси-сервера мог попасть в диапазон белого списка (-whitelist), из-за чего подключенные через него узлы Tor получали привилегированный доступ.
Это могло ослаблять защиту от DDoS-атак и снижать уровень приватности. По данным Bitcoin Core, такая конфигурация затрагивала тысячи доступных узлов основной сети (mainnet). В то же время ноды без соответствующей нестандартной настройки белого списка не были уязвимы к этой проблеме.
Исправления выпустили еще в 2025 году
Все три уязвимости устранили в обновлениях Bitcoin Core. Версию 30.0 выпустили 10 октября 2025 года, а версию 29.2 — 14 октября. Последняя уязвимая версия программного обеспечения завершила жизненный цикл 27 октября 2025 года.
Напомним, ранее в команде Bitcoin Core обнародовали информацию о трех уязвимостях, найденных с помощью автоматизированного сканирования кода большой языковой моделью (LLM).
Сообщение Разработчики Bitcoin Core раскрыли детали о трех исправленных уязвимостях появились сначала на INCRYPTED.