Bitcoin Core heeft drie beveiligingskwetsbaarheden bekendgemaakt in de software die het grootste deel van het Bitcoin-netwerk draait, waaronder één ernstige bug die de mining had kunnen verstoren — allemaal inmiddels verholpen.

De fouten, gedetailleerd beschreven in een reeks security advisories die het project heeft gepubliceerd, betreffen denial-of-service- en privacykwesties en niet iets dat een aanvaller in staat zou hebben gesteld munten te stelen of bitcoin te vervalsen. Ontwikkelaars meldden geen bewijs dat de kwetsbaarheden in de praktijk zijn misbruikt.

Bitcoin Core, de open-source referentie-implementatie die grotendeels door vrijwilligers wordt ontwikkeld, draait op de meerderheid van de nodes in het netwerk — de onafhankelijke computers die elke transactie en elk blok zelf verifiëren — waardoor fouten in de software een groot deel van de validatie-infrastructuur van Bitcoin raken. Het project classificeert kwetsbaarheden in vier niveaus, van 'laag' via 'gemiddeld' en 'hoog' tot 'kritiek'. Geen van de drie bereikte het niveau 'kritiek'; ze vielen in het midden van dat bereik. Dat hoogste niveau is voorbehouden aan fouten die diefstal van munten op protocolniveau mogelijk maken, ongeautoriseerde creatie van munten, of permanente chain splits in het hele netwerk.

Risico op mempool-corruptie

Het meest ernstige probleem, geregistreerd als CVE-2025-62861, betreft het aanmaken van block templates, het proces waarop miners vertrouwen om nieuwe blokken samen te stellen. Volgens de advisory kon een chain-reorganisatie — een scenario waarin het netwerk recent gebouwde blokken vervangt door een concurrerende chain — een foutieve verwijdering van bepaalde transacties veroorzaken. Dat zou de mempool van een node, de wachtkamer voor onbevestigde transacties, kunnen corrupt maken, waardoor de getroffen node geen block templates meer kon bouwen tot deze werd herstart.

Voor een miner betekent dat een stop op het werk dat block rewards oplevert — de nieuw uitgegeven bitcoin en de transactiekosten die bij elk blok worden betaald.

Een tweede fout, CVE-2025-62859, kon een peer in staat stellen de blockverwerking van een node te blokkeren door een compact block aan te kondigen met een gemanipuleerde witness, een vorm van transaction malleation. Compact blocks zijn een bandbreedtebesparend relayformaat waarin nodes korte transactie-identificatoren uitwisselen in plaats van volledige blockgegevens.

De derde fout, CVE-2025-62860, was een privacy- en beveiligingsprobleem waarbij inbound verbindingen via het anonieme Tor-netwerk ten onrechte 'whitelist'-rechten kregen, waardoor diverse denial-of-service- en privacybeschermingen op getroffen nodes kwamen te vervallen.

Openbaaringsbeleid in het AI-tijdperk

De bekendmakingen komen in een periode waarin wordt nagedacht over hoe snel de verdedigers van Bitcoin gelijke tred kunnen houden met een verschuivend dreigingslandschap. Bitcoin Core heeft onlangs zijn beveiligingsbeleid herschreven met het oog op AI en een categorie toegevoegd voor 'gemakkelijk vindbare' kwetsbaarheden die via een simpele AI-prompt aan het licht kunnen komen. Bugs in die categorie worden nu direct gepatcht en bekendgemaakt in plaats van lang onder embargo te blijven.

Die verschuiving weerspiegelt de groeiende bezorgdheid dat grote taalmodellen de drempel voor het vinden van fouten hebben verlaagd, een zorg die wordt onderstreept door het vrijwilligersinitiatief 'Bitcoin Red Team', dat in hoog tempo AI-vindbare bugs in het ecosysteem opspoort voordat aanvallers ze kunnen misbruiken. Die jacht is nog in volle gang, waardoor de kruising van AI-ondersteunde bugvondst en directe openbaarmaking er een om in de gaten te houden is.

De fixes zelf werden al eerder uitgerold, waarna de advisories volgden volgens de openbaarmakingstijdlijn van Bitcoin Core — een volgorde die node-operatoren een venster geeft om te updaten voordat de technische details publiek worden. Node-operatoren worden over het algemeen aangeraden de nieuwste software te draaien om beschermd te blijven, aangezien oudere versies deze fixes niet bevatten.