Bitcoin Core, de referentie-implementatie van het Bitcoin-protocol, heeft drie eerder gepatchte beveiligingskwetsbaarheden openbaar gemaakt, waaronder een hoog-risico fout die de Bitcoin-miningactiviteiten had kunnen verstoren. De adviezen, gepubliceerd op 10 november 2026, beschrijven risico's voor het creëren van blocks, de verwerking van transacties en de privacy van het netwerk in oudere versies van de software.

De openbaarmakingen verschenen ruim een jaar nadat de fixes zelf uitkwamen, in oktober 2025. Omdat de kwetsbaarheden oudere Bitcoin Core-releases betroffen, roept de vertraagde aankondiging zorgen op bij miners en node-operators die nog ongepatchte software draaien.

Hoog-risico bug bedreigde miningactiviteiten

Het ernstigste probleem, geregistreerd als CVE-2025-62861, betrof Bitcoin Core-versies 28.0 tot en met 28.2 en 29.0 tot en met 29.1. De fout ging over de afhandeling van transacties tijdens blockchain-reorganisaties — gebeurtenissen waarbij Bitcoin-nodes overschakelen naar een concurrerende ketengeschiedenis, in de volksmond reorgs genoemd.

Onder bepaalde omstandigheden kon de bug de memory pool, of mempool, in een inconsistente toestand achterlaten. Miningnodes die hierdoor getroffen werden, konden geen geldige blocktemplates meer genereren, waardoor ze geen nieuwe blocks konden produceren tot ze opnieuw gestart waren. Omdat blocktemplates de invoer vormen waarop mininghardware werkt, zou de hashrate van een getroffen operator stilvallen tot de node weer actief was.

Beveiligingsonderzoeker Niklas Goegge meldde de kwetsbaarheid in september 2025. Ontwikkelaars hebben het probleem opgelost in Bitcoin Core 30.0, uitgebracht op 10 oktober 2025. Details zijn te vinden in de officiële openbaarmaking.

Twee gemiddelde-risico kwetsbaarheden stelden netwerkrisico's bloot

Naast de miningfout heeft Bitcoin Core twee gemiddelde-risico kwetsbaarheden openbaar gemaakt die betrekking hadden op blockverwerking en Tor-netwerkverbindingen.

De eerste, CVE-2025-62859, stond kwaadwillende peers toe blockverwerking te vertragen via gemanipuleerde transaction witness-gegevens. Aanvallers konden de verwerking mogelijk tot 10 minuten stilzetten en de verstoring onder specifieke netwerkomstandigheden herhalen — een venster vergelijkbaar met het blockinterval van tien minuten waarop Bitcoin's protocol mikt.

De tweede, CVE-2025-62860, betrof nodes die bepaalde whitelist-configuraties gebruikten in combinatie met Tor-verbindingen. Tor is het anonimiteitsnetwerk dat standaard in Bitcoin Core wordt ondersteund en dat door node-operators vaak wordt gebruikt om hun IP-adressen privé te houden. De fout kon bij inkomende Tor-peers ten onrechte vertrouwde rechten verlenen, waardoor de bescherming tegen denial-of-service-aanvallen en privacyrisico's verzwakte. Ontwikkelaars gaven toe dat duizenden bereikbare Bitcoin-mainnet-nodes configuraties hadden die hen blootstelden aan het Tor-gerelateerde probleem, hoewel nodes zonder de getroffen optionele whitelist-instellingen niet werden getroffen.

Openbaarmakingen onderstrepen belang van node-onderhoud

Bitcoin Core bracht fixes voor alle drie de kwetsbaarheden uit in versie 30.0, gevolgd door aanvullende gepatchte releases. De laatste kwetsbare release-lijn bereikte op 27 oktober 2026 het einde van ondersteuning.

De adviezen volgen op eerdere beveiligingsbevindingen over geheugenbeheer en nodestabiliteit, en weerspiegelen de gevestigde praktijk van Bitcoin Core om bepaalde kwetsbaarheidsdetails terug te houden tot de getroffen softwareversies de ondersteuning verliezen — een gebruikelijke aanpak van gecoördineerde openbaarmaking die gebruikers de tijd geeft te upgraden voordat technische details die aanvallen op ongepatchte nodes kunnen helpen openbaar worden. De adviezen van 10 november kwamen ongeveer twee weken na die einddatum van ondersteuning, en operators kunnen hun blootstelling inschatten door de gedeployde releases te vergelijken met de versiereeksen die in de openbaarmakingen worden genoemd.

Hoewel de laatste openbaarmakingen betrekking hebben op fouten die al zijn gecorrigeerd, kunnen verouderde installaties nog steeds kwetsbaar zijn. Miningoperators en Bitcoin-nodebeheerders kunnen deze risico's verkleinen door te upgraden naar ondersteunde softwareversies die de beveiligingsfixes bevatten, aldus het CryptoMeter io-rapport.