Bitcoin Core heeft de kwetsbaarheid CVE-2025-62861 met hoge ernst publiek openbaar gemaakt, die mining-nodes had kunnen verhinderen nieuwe blokken te produceren na een chain reorganisatie. Het gebrek is ruim een jaar geleden stilletjes gepatcht en er is geen misbruik in het wild bevestigd. Toch onderstreept de openbaarmaking hoe kritieke bugs stilletjes door de open-source ontwikkelingspijplijn van Bitcoin kunnen bewegen voordat de bredere gemeenschap ervan op de hoogte is. De CVE-aanduiding zelf komt van het Common Vulnerabilities and Exposures-systeem, de standaardregister die securityteams gebruiken om publiek bekende softwarefouten bij te houden.

De bug achter het mining-risico

Bitcoin Core is de referentie-software-implementatie waarop de meeste full nodes en mining-infrastructuur vertrouwen om transacties te valideren en block templates te bouwen — de kandidaatblokken die een node samenstelt vanuit zijn mempool zodat miners deze kunnen hashen. Het is te onderscheiden van het Bitcoin-netwerk zelf: het netwerk blijft draaien zolang genoeg nodes compatibele software draaien, maar een defect in Core kan toch ernstige operationele problemen veroorzaken voor de miners die ervan afhankelijk zijn.

Volgens het officiële Bitcoin Core-advies werd CVE-2025-62861 geïntroduceerd in versie 28.0 samen met een functie genaamd TRUC, ook bekend als v3 transaction relay — een relaybeleid dat de structuur van bepaalde transacties en hun nog niet bevestigde opvolgers beperkt om fee-bumping van wachtende transactieketens betrouwbaarder te maken. De aanleiding was een chain reorganisatie, het proces waarbij het netwerk recent toegevoegde blokken vervangt door een concurrerende keten, doorgaans wanneer concurrerende blokkandidaten dicht bij elkaar worden gevonden. Tijdens zo'n reorg was de TRUC sibling eviction-logica niet gekoppeld aan de bypass_limits-vlag die normaal geldt wanneer transacties opnieuw aan de mempool worden toegevoegd — het opslaggebied van de node voor gevalideerde transacties die wachten op opname in een blok. Het gevolg: transacties die uitgaven aan uitgangen verwerkten die niet meer bestonden, konden in de mempool blijven zitten, waardoor de status corrumpeerde en het aanmaken van block templates werd verhinderd totdat de node werd herstart.

Het praktische risico was beperkt maar betekenisvol. Een mining-node op een getroffen versie die een reorg tegenkwam, kon stilletjes het vermogen verliezen om nieuwe blokken samen te stellen en blokbeloningen mislopen totdat een operator het opmerkte en het proces herstartte. Omdat chain reorganisaties een normale, zij het zeldzame, onderdeel van de werking van Bitcoin zijn, was het scenario niet theoretisch.

De essentiële feiten van de openbaarmaking:

• Bitcoin Core bracht patches uit in v28.3, v29.2 en v30.0 voor de bug met hoge ernst, die mining-nodes na een chain reorganisatie kon stilzetten.
• Het risico betrof de continuïteit van mining in plaats van het bredere Bitcoin-netwerk, en er is geen misbruik bevestigd.
• Node-operators en miners die versies 28.0–28.2 of 29.0–29.1 draaien, worden geadviseerd het officiële advies te raadplegen en te upgraden.
• Securityonderzoeker Niklas Goegge meldde het gebrek op 26 september 2025. Ontwikkelaar Greg Sanders opende drie dagen later fix PR #33504; die werd op 2 oktober 2025 samengevoegd en backported — retroactief toegepast op oudere ondersteunde releaselijnen — op drie releaselijnen: v30.0 op 10 oktober, v29.2 op 14 oktober en v28.3 op 17 oktober, allemaal in 2025.

Hoe een mining-onderbreking zich had kunnen verspreiden

Miners wedijveren erom ongeveer elke tien minuten nieuwe blokken aan Bitcoin's keten toe te voegen. Wanneer een node geen geldige block template kan bouwen, kan het niet aan die wedstrijd deelnemen. Eén getroffen node die offline gaat, schaadt alleen zijn eigen operator; een bredere uitval over veel nodes die dezelfde kwetsbare softwareversie draaien, zou in theorie het tempo van transactiebevestigingen voor het bredere netwerk kunnen vertragen.

Het Bitcoin Core-advies bevestigde dat er geen misbruik heeft plaatsgevonden en dat het netwerk geen verstoring vertoonde tijdens de periode dat de bug bestond. Het episode illustreert niettemin de operationele afhankelijkheid die miners en node-operators hebben van Core's codebase, vooral wanneer nieuwe transaction relay-functies zoals TRUC worden geïntroduceerd.

CVE-2025-62861 werd niet op zichzelf openbaar gemaakt. Zoals Unchained Crypto berichtte, maakte Bitcoin Core tegelijkertijd twee extra kwetsbaarheden met middelmatige ernst openbaar: CVE-2025-62860, waarbij inkomende Tor-verbindingen onterecht whitelisting-machtigingen kregen, wat een groot aantal mainnet-nodes trof, en CVE-2025-62859, waarbij een kwaadwillende peer de blokverwerking kon stilzetten door misbruik van compact blocks. Compact blocks zijn een bandbreedtebesparend relayformaat waarin nodes korte verwijzingen naar transacties uitwisselen in plaats van volledige blokgegevens. Alle drie de fixes waren al uitgerold vóór de openbaarmakingsdatum van 10 november 2026.

De reactie in de crypto-gemeenschap op X was gematigd, waarbij de meeste commentatoren erop wezen dat de patches al meer dan een jaar beschikbaar waren. In een post op X schreef @TFTC21 dat de ergste bug, beoordeeld als Hoog, een mining-node na een reorg onmogelijk kon maken om blokken te bouwen tot hij werd herstart, en riep iedereen die nog iets ouder dan 29.2 of 30.0 draait op om hierop te letten.

Een lang embargo — en een nieuw openbaarmakingsbeleid

Bitcoin Core hield de publieke openbaarmaking ongeveer 396 dagen vast na de uitrol van de fixes, in afwachting tot de kwetsbare 29.x-releaselijn op 27 oktober 2026 het einde van zijn levensduur bereikte — het punt waarop een release geen security-updates meer ontvangt. Dat interval is opvallend lang, zelfs volgens de historische normen van het project zelf voor verantwoorde openbaarmaking. Embargo's van dit soort zijn een vast onderdeel van gecoördineerde kwetsbaarheidsopenbaarmaking, de praktijk waarbij technische details worden achtergehouden tot getroffen gebruikers een realistisch venster hebben gehad om te upgraden.

De timing valt ook samen met een beleidswijziging van Bitcoin Core. Het project is nu voornemens om kwetsbaarheden die door AI-tools ontdekt kunnen worden direct na het patchen openbaar te maken, in plaats van ze onder een langdurig embargo te houden. Zoals Decrypt berichtte, weerspiegelt de verschuiving de groeiende bezorgdheid dat grote taalmodellen kwaadwillende actoren zouden kunnen helpen om bekende gebreken opnieuw te ontdekken uit patch-diffs voordat operators tijd hebben gehad te upgraden.

Wat node-operators, miners en gebruikers nu moeten doen

Operators die Bitcoin Core-versies 28.0, 28.1, 28.2, 29.0 of 29.1 draaien, gebruiken software die het bug met hoge ernst in mining-nodes bevat. De gecorrigeerde releases zijn v28.3, v29.2 en v30.0. Node-operators en teams die mining-infrastructuur beheren, moeten het officiële CVE-advies en hun interne uitrolprocedures doornemen voordat ze upgraden, aangezien elke grote node-software-update zijn eigen operationele risico met zich meebrengt en eerst in staging-omgevingen getest zou moeten worden.

Gebruikers die Bitcoin Core niet direct draaien of mining-infrastructuur beheren, hoeven niet direct actie te ondernemen. Het Bitcoin-netwerk zelf werd niet verstoord en transactiebevestigingen werden niet beïnvloed tijdens de periode dat de kwetsbaarheid bestond.

Het bredere beveiligingsbeeld voor Bitcoin-infrastructuur heeft recentelijk aandacht getrokken, nu opvallende securityincidenten in de crypto-industrie exchange- en custody-operators alert houden. De Bitcoin Core-openbaarmaking hoort bij een andere categorie risico's, namelijk open-source node-software in plaats van custodial systemen, maar het versterkt het argument voor tijdige software-updates over alle Bitcoin-gerelateerde infrastructuur.

Mining-operators in het bijzonder zouden de twee kwetsbaarheden met middelmatige ernst net zo serieus moeten nemen als die met hoge ernst. De Tor-machtigingsmisconfiguratie (CVE-2025-62860) en de compact block-stilaanval (CVE-2025-62859) troffen beide productie-mainnet-nodes en werden in dezelfde releasecyclus gepatcht. Het draaien van de nieuwste ondersteunde release lost alle drie tegelijk op.

Het nieuwe openbaarmakingsbeleid van Bitcoin Core voor AI-detecteerbare bugs signaleert dat toekomstige patchcycli sneller van fix naar publieke aankondiging kunnen bewegen. Voor mining-operaties en node-operators verkort dat het venster tussen het moment waarop een patch beschikbaar komt en het moment waarop kwetsbaarheidsdetails breed bekend worden, waardoor snelle upgradefrequenties belangrijker zijn dan ooit historisch het geval is.

Redactionele notitie: Dit artikel is vóór publicatie op 11 november 2026 gecontroleerd door het CoinWy QC-team op titelnauwkeurigheid, originele waarde, feitelijke consistentie, metadata, commerciële openbaarmaking en auteurschapsclaims. CoinWy gebruikt AI voor onderzoek, opstelling en review; de redactie is verantwoordelijk voor elk artikel en corrigeert of trekt artikelen terug indien nodig.

Disclaimer: Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Cryptocurrency- en digitale activamarkten brengen aanzienlijke risico's met zich mee. Doe altijd zelf onderzoek voordat u beslissingen neemt.