Ключові моменти
- Bitcoin Core цього тижня розкрив три вразливості, які вже були усунуті; одна з них могла призвести до зупинки майнінгових операцій.
- Найсерйозніший дефект міг перешкодити ураженим вузлам створювати дійсні шаблони блоків після реорганізації блокчейну.
- Хоча стандартна установка не піддається ризику, тисячі вузлів потенційно схильні до помилки конфігурації Tor.
Найважливішу вразливість ідентифіковано як CVE-2025-62861, яка впливає на Bitcoin Core версій 28.0 до 28.2 та 29.0 до 29.1. Дефект класифіковано як високої серйозності, він стосується обробки транзакцій під час реорганізації блокчейну та може унеможливити для майнінгових вузлів конструювання дійсних шаблонів блоків.
У центрі цієї проблеми – транзакції версії 3, часто відомі як TRUC-транзакції, які працюють із виділеним обмеженням на mempool. Під час ланцюгової реорганізації Bitcoin Core міг помилково видаляти транзакції, одночасно залишаючи залежні операції, що призводить до неконсистентності у мемпулі транзакцій.
Для майнерів наслідки особливо проблематичні. Вражені вузли можуть призвести до помилок перевірки шаблонів блоків, фактично блокуючи можливість створювати нові завдання для майнінгу до перезапуску. Майнінгове обладнання може й надалі хешувати застарілі шаблони, пропускаючи транзакційні комісії та знижуючи ефективність роботи.
Дослідник безпеки Niklas Goegge повідомив про цю вразливість 26 вересня 2025 року. Розробник Greg Sanders невдовзі впровадив виправлення, яке об’єднано 2 жовтня для запобігання небажаному видаленню транзакцій під час реорганізації.
Виправлення увійшли до програмного забезпечення Bitcoin Core 30.0, 29.2 і 28.3, та залишатимуться чинними до жовтня 2025 року. Однак, на дату та навколо публікації, приблизно 9% доступних вузлів все ще працювали на вразливих версіях.
Друга вразливість CVE-2025-62859 отримала середній рівень серйозності, вона стосується шкідливо сформованих компактних блоків. Атакувальники могли зловживати некоректною обробкою модифікованих свідків транзакцій, затримуючи завантаження блоків багаторазово. За певних мережевих умов, включаючи пошкоджені високошвидкісні підключення до пірів, це порушення могло тривати безкінечно.
Дослідник Eugene Siegel ідентифікував цю слабкість у квітні 2025 року. Gregory Sanders розробив виправлення, яке вже надійшло у Bitcoin Core версії 30.0 та 29.2.
Тим часом CVE-2025-62860 розкриває зовсім іншу проблему, пов’язану із вхідними Tor-з’єднаннями та привілеями довірених peer-ів. Коли оператор конфігурує опціональне налаштування -whitelist для включення адреси їхнього Tor-демона, вхідні з’єднання могли помилково отримати привілеї, які повинні були надаватися лише довіреним піринговим вузлам.
Ці винятки знижують деякі механізми захисту від відмов у обслуговуванні та забезпечення приватності. За даними Bitcoin Core, тисячі доступних основних вузлів можуть бути вразливі, хоча стандартна конфігурація залишається безпечна.
Оголошення від 10 листопада опубліковане згідно зі встановленою політикою розкриття у Bitcoin Core. Розробники утримувалися від надання технічних деталей до завершення життєвого циклу останньої основної вразливої гілки релізу 29.x (27 жовтня 2026 року). На відміну від трьох розкритих за допомогою штучного інтелекту вразливостей 28 жовтня, ці питання вирішувалися традиційним закритим підходом.
Важливо, що жодна з цих вразливостей не дозволила викрадати Bitcoin, несанкціоновано створювати монети або викликати збій у консенсусі, і немає жодних повідомлень про фактичне використання. Майнінгова вразливість потребує специфічних умов реорганізації, а значить, її наслідки обмежуються лише окремими операторами, а не мережею Bitcoin загалом.
Для майнерів і адміністраторів вузлів Bitcoin це розрізнення є дуже важливим. Навіть якщо вразливість напряму не ставить під загрозу кошти, підтримка програмного забезпечення залишається критично важливою. Цей випадок демонструє, що навіть на перший погляд незначні недоліки у процесингу транзакцій можуть викликати серйозні операційні проблеми без загрози фундаментальному консенсусу мережі.
