Bitcoin Coreは、ビットコインネットワークの大部分を稼働させるソフトウェアに存在する3件のセキュリティ脆弱性を公開した。そのうち1件はマイニングを混乱させる恐れのある高深刻度バグで、すべてすでに修正されている。

プロジェクトが公開した一連のセキュリティアドバイザリによると、これらの脆弱性はサービス拒否(DoS)およびプライバシーに関する問題であり、攻撃者がコインを盗んだり偽造したりすることを可能にするものではない。開発者は、これらの脆弱性が実際に悪用された証拠は確認されていないと報告している。

Bitcoin Coreは、主にボランティアの開発者によって運営されるオープンソースのリファレンス実装であり、ネットワーク上のノードの大多数——各トランザクションとブロックを独自に検証する独立したコンピュータ——を稼働させている。そのため、このソフトウェアの脆弱性はビットコインの検証インフラの広い範囲に影響を及ぼしうる。プロジェクトは脆弱性を「低」から「中」「高」を経て「クリティカル」までの4段階に分類しており、今回の3件はいずれも「クリティカル」には達せず、その中間に位置する。最上位の「クリティカル」は、プロトコルレベルでのコイン盗難、不正なコイン生成、または恒久的なネットワーク全体のチェーン分岐をもたらす恐れのあるバグのために予約されている。

メモリプール破損のリスク

最も深刻な問題は、CVE-2025-62861として追跡されており、マイナーが新しいブロックを組み立てる際に依存するプロセスであるブロックテンプレート生成に関するもの。アドバイザリによると、チェーン再編成——ネットワークが最近構築されたブロックを競合するチェーンに置き換えるシナリオ——が、特定のトランザクションの誤った退避を引き起こす可能性があるという。その結果、ノードのメモリプール(未確認トランザクションの待機領域)が破損し、影響を受けたノードは再起動するまでブロックテンプレートを生成できなくなる。

マイナーにとって、これはブロック報酬——各ブロックで支払われる新規発行のビットコインとトランザクション手数料——を生み出す仕事そのものの停止を意味する。

2つ目の脆弱性CVE-2025-62859は、ピアが改ざんされたウィitnessを含むコンパクトブロックをアナウンスすることで、ノードのブロック処理を停滞させることを可能にしうるもの。コンパクトブロックは、ノードが完全なブロックデータの代わりに短いトランザクション識別子を交換する、帯域幅を節約するリレーフォーマットである。

3つ目の脆弱性CVE-2025-62860は、匿名ネットワークTor経由のインバウンド接続に誤って「ホワイトリスト」権限が付与され、影響を受けたノード上の各種サービス拒否保護やプライバシー保護が解除されていたという、プライバシーとセキュリティに関する問題だった。

AI時代の公開ポリシー

今回の公開は、変化する脅威の状況にビットコインの防御者たちがどこまで迅速に対応できるかという、より広範な議論の中で行われた。Bitcoin Coreは最近、AIに対応するためにセキュリティポリシーを改訂し、簡単なAIプロンプトで発見されうる「容易に発見可能」な脆弱性のカテゴリを新設した。このカテゴリのバグは、長期の embargo の下で保留されるのではなく、現在は即座に修正・公開される。

この変更は、大規模言語モデルが脆弱性発見のハードルを下げたという高まる懸念を反映しており、その懸念は、攻撃者が悪用する前にエコシステム全体でAIによって発見可能なバグを暴く競争を続けているボランティアの「Bitcoin Red Team」によっても強調されている。この調査は現在も進行中であり、AI支援による脆弱性発見と即時公開の交点は今後も注目に値する。

修正自体は先行してリリースされており、アドバイザリはBitcoin Coreの公開タイムラインに従って後に公開された。この順序により、ノード運営者は技術的詳細が公開される前にアップデートする猶予を得られる。古いリリースにはこれらの修正が含まれていないため、ノード運営者は保護を維持するために最新のソフトウェアを実行することが一般的に推奨されている。