Bitcoin Core ha reso pubblica CVE-2025-62861, una vulnerabilità di gravità elevata che avrebbe potuto impedire ai nodi di mining di produrre nuovi blocchi a seguito di una riorganizzazione della catena. La vulnerabilità è stata corretta in silenzio più di un anno fa e non è stata confermata alcuna exploit in ambiente reale. Ciononostante, la divulgazione evidenzia quanto silenziosamente bug critici possano muoversi lungo il pipeline di sviluppo open source di Bitcoin prima che la comunità più ampia ne venga a conoscenza. La designazione CVE stessa proviene dal sistema Common Vulnerabilities and Exposures, il registro standard utilizzato dai team di sicurezza per tracciare le vulnerabilità software pubblicamente note.

Il bug alla base del rischio per il mining

Bitcoin Core è l'implementazione software di riferimento su cui si affidano la maggior parte dei nodi completi e dell'infrastruttura di mining per validare le transazioni e costruire i template di blocco — i blocchi candidati che un nodo assembla dalla propria mempool per essere sottoposti a hashing dai miner. È distinto dalla rete Bitcoin stessa: la rete continua a operare finché un numero sufficiente di nodi esegue software compatibili, ma un difetto in Core può comunque creare seri problemi operativi per i miner che dipendono da esso.

Secondo l'advisory ufficiale di Bitcoin Core, CVE-2025-62861 è stata introdotta nella versione 28.0 insieme a una funzionalità chiamata TRUC, nota anche come relay delle transazioni v3 — una policy di relay che limita la struttura di determinate transazioni e dei loro discendenti non confermati per rendere più affidabile l'incremento delle commissioni delle catene di transazioni in sospeso. L'elemento scatenante era una riorganizzazione della catena, il processo con cui la rete sostituisce i blocchi aggiunti di recente con una catena concorrente, tipicamente quando i candidati a blocco concorrenti vengono trovati a breve distanza. Durante tale reorg, la logica di evizione dei fratelli TRUC non era vincolata dal flag bypass_limits che normalmente si applica quando le transazioni vengono riaggiunte alla mempool — l'area di attesa del nodo per le transazioni validate in attesa di essere incluse in un blocco. La conseguenza: le transazioni che spendevano output non più esistenti potevano rimanere nella mempool, corrompendone lo stato e impedendo la creazione dei template di blocco fino al riavvio del nodo.

Il rischio pratico era limitato ma significativo. Un nodo di mining che eseguiva una versione affetta e si trovava ad affrontare una reorg poteva perdere silenziosamente la capacità di assemblare nuovi blocchi, rinunciando alle ricompense di blocco finché un operatore non se ne accorgeva e riavviava il processo. Poiché le riorganizzazioni della catena sono una parte normale, seppur poco frequente, del funzionamento di Bitcoin, lo scenario non era teorico.

Gli elementi essenziali della divulgazione:

• Bitcoin Core ha rilasciato patch in v28.3, v29.2 e v30.0 per la vulnerabilità di gravità elevata, che poteva bloccare i nodi di mining dopo una riorganizzazione della catena.
• Il rischio riguardava la continuità del mining, non la più ampia rete Bitcoin, e non è stata confermata alcuna exploit.
• Gli operatori di nodi e i miner che eseguono le versioni 28.0–28.2 o 29.0–29.1 dovrebbero consultare l'advisory ufficiale e aggiornare.
• Il ricercatore di sicurezza Niklas Goegge ha segnalato la vulnerabilità il 26 settembre 2025. Lo sviluppatore Greg Sanders ha aperto la PR di correzione #33504 tre giorni dopo; è stata integrata il 2 ottobre 2025 e sottoposta a backport — applicata retroattivamente alle linee di rilascio supportate più datate — su tre linee di rilascio: v30.0 il 10 ottobre, v29.2 il 14 ottobre e v28.3 il 17 ottobre, tutti nel 2025.

Come un'interruzione del mining avrebbe potuto propagarsi

I miner competono per aggiungere nuovi blocchi alla catena di Bitcoin all'incirca ogni dieci minuti. Quando un nodo non può costruire un template di blocco valido, non può partecipare a quella competizione. Un singolo nodo affetto che va offline danneggia solo il suo operatore; un guasto più ampio su molti nodi che eseguono la stessa versione vulnerabile del software potrebbe, in teoria, rallentare il ritmo delle conferme delle transazioni per l'intera rete.

L'advisory di Bitcoin Core ha confermato che non si è verificata alcuna exploit e che la rete non ha mostrato interruzioni durante il periodo di esistenza della vulnerabilità. L'episodio illustra comunque la dipendenza operativa che miner e operatori di nodi hanno dal codebase di Core, in particolare quando vengono introdotte nuove funzionalità di relay delle transazioni come TRUC.

CVE-2025-62861 non è stata divulgata in isolamento. Come riportato da Unchained Crypto, Bitcoin Core ha contemporaneamente divulgato due ulteriori vulnerabilità di gravità media: CVE-2025-62860, in cui le connessioni in entrata Tor ricevevano erroneamente permessi di whitelist, coinvolgendo un gran numero di nodi sulla mainnet, e CVE-2025-62859, in cui un peer malintenzionato poteva bloccare l'elaborazione dei blocchi attraverso un abuso dei compact block. I compact block sono un formato di relay che consente di risparmiare banda, in cui i nodi scambiano brevi riferimenti alle transazioni invece dei dati completi del blocco. Tutte e tre le correzioni erano già state rilasciate prima della data di divulgazione del 10 novembre 2026.

La reazione della comunità crypto su X è stata misurata, con la maggior parte dei commentatori che ha notato come le patch fossero disponibili da oltre un anno. In un post su X, @TFTC21 ha scritto che il bug peggiore, classificato come High, avrebbe potuto lasciare un nodo di mining incapace di costruire blocchi dopo una reorg fino al suo riavvio, e ha sollecitato chiunque eseguisse ancora versioni precedenti alla 29.2 o alla 30.0 a prestare attenzione.

Un lungo embargo — e una nuova policy di divulgazione

Bitcoin Core ha trattenuto la divulgazione pubblica per circa 396 giorni dopo il rilascio delle correzioni, attendendo specificamente che la linea di rilascio vulnerabile 29.x raggiungesse la fine del ciclo di vita il 27 ottobre 2026 — il punto in cui una release cessa di ricevere aggiornamenti di sicurezza. Quell'intervallo è notevolmente lungo anche secondo gli standard storici dello stesso progetto in materia di divulgazione responsabile. Embarghi di questo tipo sono una costante della divulgazione coordinata delle vulnerabilità, la pratica di trattenere i dettagli tecnici finché gli utenti coinvolti non abbiano avuto un margine realistico per aggiornare.

La tempistica coincide anche con un aggiornamento della policy da parte di Bitcoin Core. Il progetto ora intende divulgare le vulnerabilità individuabili tramite strumenti di AI immediatamente dopo l'applicazione delle patch, invece di trattenle sotto un lungo embargo. Come riportato da Decrypt, questo cambio riflette la crescente preoccupazione che i modelli linguistici di grandi dimensioni potrebbero aiutare soggetti malintenzionati a riscoprire vulnerabilità note dai diff delle patch prima che gli operatori abbiano avuto il tempo di aggiornare.

Cosa dovrebbero fare ora operatori di nodi, miner e utenti

Gli operatori che eseguono Bitcoin Core nelle versioni 28.0, 28.1, 28.2, 29.0 o 29.1 stanno utilizzando un software che contiene la vulnerabilità di gravità elevata dei nodi di mining. Le release corrette sono v28.3, v29.2 e v30.0. Gli operatori di nodi e i team dell'infrastruttura di mining dovrebbero consultare l'advisory CVE ufficiale e le proprie procedure interne di distribuzione prima di aggiornare, poiché qualsiasi aggiornamento importante del software dei nodi comporta propri rischi operativi e dovrebbe essere testato prima in ambienti di staging.

Gli utenti che non gestiscono direttamente Bitcoin Core o infrastrutture di mining non devono intraprendere alcuna azione immediata. La rete Bitcoin stessa non è stata interrotta e le conferme delle transazioni non sono state influenzate durante il periodo di esistenza della vulnerabilità.

Il quadro di sicurezza più ampio per l'infrastruttura Bitcoin ha attirato l'attenzione di recente, poiché violazioni di sicurezza di alto profilo nel settore crypto hanno mantenuto gli operatori di exchange e di custodia in allerta. La divulgazione di Bitcoin Core appartiene a una categoria di rischio diversa, riguardante software per nodi open source piuttosto che sistemi di custodia, ma rafforza la necessità di aggiornamenti software tempestivi su tutta l'infrastruttura collegata a Bitcoin.

Gli operatori di mining in particolare dovrebbero trattare le due CVE di gravità media con la stessa serietà di quella di gravità elevata. La configurazione errata dei permessi Tor (CVE-2025-62860) e l'attacco di stalling tramite compact block (CVE-2025-62859) hanno coinvolto entrambi nodi in produzione sulla mainnet ed è stata corretta nello stesso ciclo di rilascio. L'esecuzione dell'ultima release supportata affronta tutte e tre contemporaneamente.

La nuova policy di divulgazione delle vulnerabilità individuabili tramite AI di Bitcoin Core segnala che i futuri cicli di patch potrebbero passare più rapidamente dalla correzione all'annuncio pubblico. Per le operazioni di mining e gli operatori di nodi, ciò riduce la finestra tra la disponibilità di una patch e la divulgazione ampia dei dettagli della vulnerabilità, rendendo ritmi di aggiornamento rapidi più importanti di quanto siano stati storicamente.

Nota editoriale: questo articolo è stato verificato dal CoinWy QC Team prima della pubblicazione l'11 novembre 2026 per accuratezza del titolo, valore originale, coerenza fattuale, metadati, dichiarazioni commerciali e rivendicazioni di paternità. CoinWy utilizza l'AI per ricerca, redazione e revisione; il suo team editoriale è responsabile di ogni articolo e corregge o ritira gli articoli quando necessario.

Disclaimer: questo articolo ha finalità puramente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuare sempre le proprie ricerche prima di prendere decisioni.