Bitcoin Core a révélé trois vulnérabilités de sécurité dans le logiciel qui fait fonctionner la majeure partie du réseau Bitcoin, dont une faille de gravité élevée qui aurait pu perturber le minage, toutes corrigées depuis.

Les failles, détaillées dans une série d'avis de sécurité publiés par le projet, relèvent des problèmes de déni de service et de vie privée, et non de quoi que ce soit permettant à un attaquant de voler des coins ou de forger du bitcoin. Les développeurs n'ont signalé aucune preuve que ces failles aient été exploitées.

Bitcoin Core, l'implémentation de référence open source maintenue en grande partie par des développeurs bénévoles, fait fonctionner la majorité des nœuds du réseau — les ordinateurs indépendants qui vérifient eux-mêmes chaque transaction et chaque bloc — si bien que les failles du logiciel touchent une vaste partie de l'infrastructure de validation de Bitcoin. Le projet classe les vulnérabilités en quatre niveaux, de « faible » à « moyen » et « élevé », jusqu'à « critique ». Aucune des trois n'a atteint le niveau « critique », se situant plutôt au milieu de l'échelle. Bitcoin Core réserve ce niveau supérieur aux failles menaçant le vol de coins au niveau du protocole, la création non autorisée de coins ou les scissions permanentes de la chaîne à l'échelle du réseau.

Risque de corruption du mempool

Le problème le plus grave, référencé CVE-2025-62861, concerne la création de modèles de blocs, le processus sur lequel les mineurs s'appuient pour assembler de nouveaux blocs. Selon l'avis, une réorganisation de la chaîne — un scénario dans lequel le réseau remplace des blocs récemment construits par une chaîne concurrente — pouvait déclencher l'éviction erronée de certaines transactions. Cela corrompait le mempool d'un nœud, sa salle d'attente pour les transactions non confirmées, rendant le nœud affecté incapable de construire des modèles de blocs jusqu'à son redémarrage.

Pour un mineur, cela signifiait l'arrêt du travail même qui lui permet de gagner des récompenses de bloc — le bitcoin nouvellement émis et les frais de transaction versés à chaque bloc.

Une seconde faille, CVE-2025-62859, permettait à un pair de bloquer le traitement des blocs d'un nœud en annonçant un bloc compact avec un témoin manipulé, une forme de malléabilité de transaction. Les blocs compacts sont un format de relais économe en bande passante, dans lequel les nœuds échangent des identifiants de transactions courts au lieu des données complètes des blocs.

La troisième faille, CVE-2025-62860, était un problème de confidentialité et de sécurité dans lequel les connexions entrantes via le réseau d'anonymisation Tor se voyaient accorder à tort des permissions de « liste blanche », supprimant diverses protections contre les dénis de service et relatives à la vie privée sur les nœuds concernés.

Politique de divulgation à l'ère de l'IA

Ces révélations interviennent dans un contexte de réflexion plus large sur la capacité des défenseurs de Bitcoin à suivre le rythme d'un paysage de menaces en évolution. Bitcoin Core a récemment réécrit sa politique de sécurité pour tenir compte de l'IA, en ajoutant une catégorie pour les vulnérabilités « facilement découvrables » pouvant être mises au jour par un simple prompt IA. Les failles de cette catégorie sont désormais corrigées et révélées immédiatement plutôt que maintenues sous un long embargo.

Ce changement reflète une inquiétude croissante selon laquelle les grands modèles de langage ont abaissé le seuil requis pour trouver des failles, une préoccupation soulignée par la « Bitcoin Red Team » bénévole, qui s'emploie à découvrir les failles détectables par IA dans tout l'écosystème avant que des attaquants ne puissent les exploiter. Cette chasse est toujours en cours, faisant de l'intersection entre la découverte de failles assistée par IA et la divulgation immédiate un sujet à suivre.

Les correctifs eux-mêmes ont été déployés plus tôt, les avis ayant suivi conformément au calendrier de divulgation de Bitcoin Core — une séquence qui donne aux opérateurs de nœuds une fenêtre pour se mettre à jour avant que les détails techniques ne soient publics. Les opérateurs de nœuds sont généralement invités à exécuter la dernière version du logiciel pour rester protégés, les versions antérieures n'incluant pas ces correctifs.