Bitcoin Core behebt drei Sicherheitslücken, darunter einen schwerwiegenden Fehler, der das Mining hätte stoppen können
Wichtige Erkenntnisse
- •Bitcoin Core hat drei inzwischen behobene Schwachstellen offengelegt, darunter einen schwerwiegenden Fehler. Keine erreichte die Stufe „kritisch“ oder ermöglichte den Diebstahl von Coins; die Entwickler fanden keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- •Die schwerwiegendste Schwachstelle, CVE-2025-62861, hätte während einer Blockchain-Reorganisation den Mempool eines Nodes beschädigen können, sodass Miner bis zu einem Neustart keine Blockvorlagen mehr erstellen konnten.
- •Eine zweite Schwachstelle, CVE-2025-62859, konnte die Blockverarbeitung durch einen Compact Block mit manipuliertem Witness stoppen. Eine dritte, CVE-2025-62860, erteilte eingehenden Tor-Verbindungen fälschlicherweise Whitelist-Berechtigungen und hob dadurch Schutzmaßnahmen gegen Denial-of-Service-Angriffe und für die Privatsphäre auf.
- •Bitcoin Core hat seine Sicherheitsrichtlinie kürzlich überarbeitet, um durch einfache KI-Eingaben auffindbare Schwachstellen sofort zu beheben und zu veröffentlichen, statt sie lange unter Verschluss zu halten.
- •Die Korrekturen wurden vor den technischen Sicherheitsmitteilungen veröffentlicht, sodass Node-Betreiber Zeit für eine Aktualisierung hatten. Betreiber sollten die neueste Software einsetzen, da ältere Versionen die Korrekturen nicht enthalten.
Bitcoin Core hat drei Sicherheitslücken in der Software offengelegt, die den Großteil des Bitcoin-Netzwerks betreibt. Darunter war ein schwerwiegender Fehler, der das Mining hätte beeinträchtigen können; alle Schwachstellen wurden inzwischen behoben.
Die Fehler, die in einer Reihe von Sicherheitsmitteilungen des Projekts beschrieben wurden, betrafen Denial-of-Service- und Datenschutzprobleme und nicht etwa Schwachstellen, die es einem Angreifer ermöglicht hätten, Coins zu stehlen oder Bitcoin zu fälschen. Die Entwickler meldeten keine Hinweise darauf, dass die Fehler in freier Wildbahn ausgenutzt wurden.
Bitcoin Core ist eine Open-Source-Referenzimplementierung, die größtenteils von freiwilligen Entwicklern betrieben wird und die Mehrheit der Nodes im Netzwerk versorgt – unabhängige Computer, die jede Transaktion und jeden Block selbst überprüfen. Daher betreffen Fehler in der Software einen großen Teil der Bitcoin-Validierungsinfrastruktur. Das Projekt stuft Schwachstellen in vier Kategorien ein: von „niedrig“ über „mittel“ und „hoch“ bis „kritisch“. Keine der drei Schwachstellen erreichte die Stufe „kritisch“, sondern lag im mittleren Bereich. Bitcoin Core reserviert diese höchste Stufe für Fehler, die auf Protokollebene den Diebstahl von Coins, die unbefugte Erzeugung von Coins oder dauerhafte, netzwerkweite Kettenspaltungen bedrohen.
Risiko einer Mempool-Beschädigung
Das schwerwiegendste Problem mit der Kennung CVE-2025-62861 betrifft die Erstellung von Blockvorlagen, also den Prozess, auf den Miner zum Zusammenstellen neuer Blöcke angewiesen sind. Laut der Sicherheitsmitteilung könnte eine Reorganisation der Blockchain – ein Szenario, in dem das Netzwerk kürzlich erstellte Blöcke durch eine konkurrierende Kette ersetzt – die fehlerhafte Entfernung bestimmter Transaktionen auslösen. Dadurch wäre der Mempool eines Nodes beschädigt worden, also der Zwischenspeicher für unbestätigte Transaktionen. Der betroffene Node hätte dann bis zu einem Neustart keine Blockvorlagen mehr erstellen können.
Für einen Miner bedeutet das einen Stillstand genau jener Arbeit, mit der Block-Rewards verdient werden – die neu ausgegebenen Bitcoin und die bei jedem Block gezahlten Transaktionsgebühren.
Eine zweite Schwachstelle mit der Kennung CVE-2025-62859 hätte es einem Peer ermöglichen können, die Blockverarbeitung eines Nodes zu stoppen, indem er einen Compact Block mit einem manipulierten Witness ankündigte, einer Form der Transaktionsmalleabilität. Compact Blocks sind ein bandbreitensparendes Relay-Format, bei dem Nodes kurze Transaktionskennungen anstelle vollständiger Blockdaten austauschen.
Die dritte Schwachstelle mit der Kennung CVE-2025-62860 war ein Datenschutz- und Sicherheitsproblem. Eingehende Verbindungen über das Tor-Anonymitätsnetzwerk erhielten fälschlicherweise „Whitelist“-Berechtigungen, wodurch verschiedene Schutzmaßnahmen gegen Denial-of-Service-Angriffe und für die Privatsphäre auf betroffenen Nodes aufgehoben wurden.
Sicherheitsrichtlinie im KI-Zeitalter
Die Veröffentlichungen erfolgen vor dem Hintergrund einer breiteren Auseinandersetzung damit, wie schnell die Verteidiger von Bitcoin mit einer sich wandelnden Bedrohungslage Schritt halten können. Bitcoin Core hat seine Sicherheitsrichtlinie kürzlich überarbeitet, um KI zu berücksichtigen, und eine Kategorie für „leicht auffindbare“ Schwachstellen eingeführt, die durch eine einfache KI-Eingabe aufgedeckt werden können. Fehler dieser Kategorie werden nun sofort behoben und veröffentlicht, anstatt sie lange unter Verschluss zu halten.
Diese Änderung spiegelt die wachsende Sorge wider, dass große Sprachmodelle die Hürde für das Auffinden von Schwachstellen gesenkt haben. Unterstrichen wird diese Sorge durch das freiwillige „Bitcoin Red Team“, das darum bemüht ist, im gesamten Ökosystem durch KI auffindbare Fehler zu entdecken, bevor Angreifer sie ausnutzen können. Diese Suche läuft noch, wodurch das Zusammenspiel von KI-gestützter Fehlersuche und sofortiger Veröffentlichung weiter beobachtet werden dürfte.
Die Korrekturen selbst wurden bereits zuvor veröffentlicht; die Sicherheitsmitteilungen folgten gemäß dem Offenlegungszeitplan von Bitcoin Core. Diese Reihenfolge gibt Node-Betreibern ein Zeitfenster für die Aktualisierung, bevor die technischen Details öffentlich werden. Node-Betreiber sollten grundsätzlich die neueste Software einsetzen, um geschützt zu bleiben, da ältere Versionen diese Korrekturen nicht enthalten.
