Bitcoin Core ha divulgato tre vulnerabilità di sicurezza nel software che gestisce la maggior parte della rete Bitcoin, incluso un bug ad alta gravità che avrebbe potuto interrompere il mining, tutte ormai corrette.

Le falle, descritte in dettaglio in una serie di avvisi di sicurezza pubblicati dal progetto, riguardano problemi di denial-of-service e privacy, e non avrebbero permesso a un attaccante di rubare monete o falsificare bitcoin. Gli sviluppatori non hanno riportato prove che le vulnerabilità siano state sfruttate sul campo.

Bitcoin Core, l'implementazione di riferimento open-source gestita in gran parte da sviluppatori volontari, opera la maggioranza dei nodi della rete—i computer indipendenti che verificano autonomamente ogni transazione e blocco—quindi le falle nel software toccano un'ampia porzione dell'infrastruttura di validazione di Bitcoin. Il progetto classifica le vulnerabilità in quattro livelli, da "low" passando per "medium" e "high" fino a "critical". Nessuna delle tre ha raggiunto il livello "critical", collocandosi invece a metà della scala. Bitcoin Core riserva quel livello massimo ai bug che minacciano il furto di monete a livello di protocollo, la creazione non autorizzata di monete o la divisione permanente della catena a livello di rete.

Rischio di corruzione della mempool

Il problema più grave, tracciato come CVE-2025-62861, riguarda la creazione dei block template, il processo su cui i miner fanno affidamento per assemblare nuovi blocchi. Secondo l'avviso, una riorganizzazione della catena—uno scenario in cui la rete sostituisce blocchi costruiti di recente con una catena concorrente—poteva innescare l'espulsione errata di certe transazioni. Ciò avrebbe corrotto la mempool di un nodo, la sua sala d'attesa per le transazioni non confermate, lasciando il nodo interessato incapace di costruire block template fino al riavvio.

Per un miner, ciò significa l'arresto del lavoro stesso che genera le ricompense per i blocchi—i bitcoin appena emessi e le commissioni di transazione pagate con ogni blocco.

Una seconda falle, CVE-2025-62859, permetteva a un peer di bloccare l'elaborazione dei blocchi di un nodo annunciando un compact block con un witness manipolato, una forma di malleazione della transazione. I compact block sono un formato di relay che consente di risparmiare banda, in cui i nodi scambiano brevi identificatori di transazione invece dei dati completi del blocco.

La terza falle, CVE-2025-62860, era un problema di privacy e sicurezza in cui le connessioni in ingresso attraverso la rete di anonimato Tor ricevevano erroneamente permessi di "whitelist", rimuovendo diverse protezioni contro il denial-of-service e per la privacy sui nodi interessati.

Politica di divulgazione nell'era dell'AI

Le divulgazioni giungono in un momento di più ampia riflessione su quanto rapidamente i difensori di Bitcoin riescano a tenere il passo con un panorama delle minacce in continua evoluzione. Bitcoin Core ha recentemente riscritto la sua politica di sicurezza per tenere conto dell'AI, aggiungendo una categoria per le vulnerabilità "facilmente individuabili" che possono essere scoperte attraverso un semplice prompt AI. I bug in quella categoria vengono ora corretti e divulgati immediatamente, anziché restare sotto un lungo embargo.

Questo cambiamento riflette la crescente preoccupazione che i modelli linguistici di grandi dimensioni abbiano abbassato la soglia per la scoperta di falle, una preoccupazione sottolineata dal volontario "Bitcoin Red Team", che si sta adoperando per individuare bug rilevabili tramite AI in tutto l'ecosistema prima che gli attaccanti possano sfruttarli. La caccia è ancora in corso, rendendo l'intersezione tra scoperta di bug assistita dall'AI e divulgazione immediata un aspetto da tenere d'occhio.

Le correzioni sono state rilasciate in precedenza, con gli avvisi pubblicati successivamente secondo il calendario di divulgazione di Bitcoin Core—una sequenza che offre agli operatori dei nodi una finestra per aggiornarsi prima che i dettagli tecnici vengano resi pubblici. In genere si raccomanda agli operatori dei nodi di eseguire il software più recente per restare protetti, poiché le versioni precedenti non includono queste correzioni.