Bitcoin Core publicznie ujawnił CVE-2025-62861 — lukę o wysokim poziomie zagrożenia, która mogła uniemożliwić węzłom wydobywczym tworzenie nowych bloków po reorganizacji łańcucha. Błąd został dyskretnie załatany ponad rok temu, a wykorzystanie luki w praktyce nie zostało potwierdzone. Mimo to ujawnienie pokazuje, jak dyskretnie krytyczne błędy mogą przechodzić przez proces otwartej pracy nad Bitcoinem, zanim szersza społeczność dowie się o ich istnieniu. Samo oznaczenie CVE pochodzi z systemu Common Vulnerabilities and Exposures — standardowego rejestru, którym zespoły bezpieczeństwa śledzą publicznie znane luki w oprogramowaniu.

Błąd stojący za ryzykiem dla wydobycia

Bitcoin Core to referencyjna implementacja oprogramowania, na której opiera się większość pełnych węzłów i infrastruktury wydobywczej w celu walidacji transakcji i tworzenia szablonów bloków — kandydujących bloków, które węzeł składa z mempoola do hashowania przez górników. Jest on odrębny od samej sieci Bitcoin: sieć działa tak długo, jak wystarczająca liczba węzłów korzysta ze zgodnego oprogramowania, jednak wada w Core może nadal powodować poważne problemy operacyjne dla zależnych od niego górników.

Zgodnie z oficjalnym komunikatem Bitcoin Core luka CVE-2025-62861 została wprowadzona w wersji 28.0 wraz z funkcją TRUC, znaną także jako v3 transaction relay — polityką przekazywania, która ogranicza strukturę niektórych transakcji i ich niepotwierdzonych transakcji potomnych, aby podnoszenie opłat dla oczekujących łańcuchów transakcji było bardziej niezawodne. Wyzwalaczem była reorganizacja łańcucha — proces, w którym sieć zastępuje niedawno dodane bloki łańcuchem konkurencyjnym, zwykle gdy konkurencyjne kandydatury bloków zostaną znalezione w krótkim odstępie czasu. Podczas takiej reorganizacji logika usuwania transakcji rodzeństwa TRUC nie była ograniczona flagą bypass_limits, która normalnie stosuje się przy ponownym dodawaniu transakcji do mempoola — obszaru przechowywania węzła dla zwalidowanych transakcji oczekujących na włączenie do bloku. Konsekwencja: transakcje wydawające już nieistniejące wyjścia mogły pozostać w mempoolu, uszkadzając jego stan i uniemożliwiając tworzenie szablonów bloków do czasu ponownego uruchomienia węzła.

Praktyczne ryzyko było wąskie, ale istotne. Węzeł wydobywczy na podatnej wersji, który napotkał reorganizację, mógł po cichu stracić zdolność składania nowych bloków, tracąc nagrody blokowe do momentu, aż operator zauważy problem i ponownie uruchomi proces. Ponieważ reorganizacje łańcucha są normalną, choć rzadką, częścią działania Bitcoina, scenariusz nie był czysto teoretyczny.

Kluczowe fakty dotyczące ujawnienia:

• Bitcoin Core wydał poprawki w wersjach v28.3, v29.2 i v30.0 dla luki o wysokim poziomie zagrożenia, która mogła zatrzymać węzły wydobywcze po reorganizacji łańcucha.
• Ryzyko dotyczyło ciągłości wydobycia, a nie szerszej sieci Bitcoin; wykorzystania luki nie potwierdzono.
• Operatorzy węzłów i górnicy korzystający z wersji 28.0–28.2 lub 29.0–29.1 powinni zapoznać się z oficjalnym komunikatem i dokonać aktualizacji.
• Badacz bezpieczeństwa Niklas Goegge zgłosił lukę 26 września 2025 r. Trzy dni później deweloper Greg Sanders otworzył poprawkę PR #33504; została ona scalona 2 października 2025 r. i przeniesiona wstecz — zastosowana retroaktywnie do starszych wspieranych linii wydań — na trzy linie wydań: v30.0 10 października, v29.2 14 października i v28.3 17 października, wszystkie w 2025 r.

Jak przerwa w wydobyciu mogła się rozlać dalej

Górnicy konkurują o dodawanie nowych bloków do łańcucha Bitcoina mniej więcej co dziesięć minut. Gdy węzeł nie może zbudować poprawnego szablonu bloku, nie może wziąć udziału w tej rywalizacji. Wyłączenie pojedynczego dotkniętego węzła szkodzi tylko jego operatorowi; szersza awaria obejmująca wiele węzłów z tą samą podatną wersją oprogramowania mogłaby w teorii spowolnić tempo potwierdzania transakcji w całej sieci.

Komunikat Bitcoin Core potwierdził, że wykorzystania luki nie było, a sieć nie wykazała zakłóceń w okresie istnienia błędu. Epizod ten ilustruje jednak operacyjną zależność górników i operatorów węzłów od kodu Core, zwłaszcza gdy wprowadzane są nowe funkcje przekazywania transakcji, takie jak TRUC.

CVE-2025-62861 nie zostało ujawnione w izolacji. Jak informuje Unchained Crypto, Bitcoin Core jednocześnie ujawnił dwie dodatkowe luki o średnim poziomie zagrożenia: CVE-2025-62860, w której przychodzące połączenia Tor niepoprawnie otrzymywały uprawnienia białej listy, co dotknęło dużą liczbę węzłów mainnetu, oraz CVE-2025-62859, w której złośliwy peering mógł zatrzymać przetwarzanie bloków poprzez nadużycie compact blocks. Compact blocks to oszczędzający przepustowość format przekazywania, w którym węzły wymieniają krótkie odniesienia do transakcji zamiast pełnych danych bloku. Wszystkie trzy poprawki zostały wydane przed datą ujawnienia 10 listopada 2026 r.

Reakcja społeczności kryptowalutowej na X była opanowana, a większość komentujących zauważyła, że poprawki są dostępne od ponad roku. W wpisie na X @TFTC21 napisał, że najpoważniejszy błąd, oceniony jako wysoki, mógł pozostawić węzeł wydobywczy bez możliwości tworzenia bloków po reorganizacji do czasu ponownego uruchomienia, i wezwał wszystkich, którzy nadal korzystają z wersji starszych niż 29.2 lub 30.0, do zachowania czujności.

Długa blokada informacji — i nowa polityka ujawniania

Bitcoin Core wstrzymał publiczne ujawnienie na około 396 dni po wydaniu poprawek, czekając konkretnie do momentu, gdy podatna linia wydań 29.x osiągnęła koniec życia 27 października 2026 r. — punkt, w którym wydanie przestaje otrzymywać aktualizacje bezpieczeństwa. Ten okres jest wyjątkowo długi nawet według historycznych standardów projektu w zakresie odpowiedzialnego ujawniania. Takie blokady informacji są stałym elementem skoordynowanego ujawniania luk — praktyki wstrzymywania szczegółów technicznych do czasu, aż dotknięci użytkownicy uzyskają realną okazję do aktualizacji.

Termin ujawnienia zbiegł się także z aktualizacją polityki Bitcoin Core. Projekt zamierza teraz ujawniać luki wykrywalne przez narzędzia AI bezpośrednio po załataniu, zamiast utrzymywać je w dłuższej blokadzie informacyjnej. Jak relacjonuje Decrypt, zmiana ta odzwierciedla rosnące obawy, że duże modele językowe mogłyby pomóc złośliwym aktorom w ponownym odkrywaniu znanych luk na podstawie różnic poprawek, zanim operatorzy zdążą przeprowadzić aktualizację.

Co powinni zrobić dalej operatorzy węzłów, górnicy i użytkownicy

Operatorzy korzystający z wersji Bitcoin Core 28.0, 28.1, 28.2, 29.0 lub 29.1 używają oprogramowania zawierającego lukę o wysokim poziomie zagrożenia dotyczącą węzłów wydobywczych. Poprawione wersje to v28.3, v29.2 i v30.0. Operatorzy węzłów i zespoły infrastruktury wydobywczej powinni zapoznać się z oficjalnym komunikatem CVE oraz z wewnętrznymi procedurami wdrażania przed aktualizacją, ponieważ każda istotna aktualizacja oprogramowania węzła wiąże się z własnym ryzykiem operacyjnym i powinna zostać przetestowana najpierw w środowisku testowym.

Użytkownicy, którzy nie obsługują bezpośrednio Bitcoin Core ani nie zarządzają infrastrukturą wydobywczą, nie muszą podejmować żadnych natychmiastowych działań. Sama sieć Bitcoin nie doznała zakłóceń, a potwierdzanie transakcji nie zostało naruszone w okresie istnienia luki.

Szerszy obraz bezpieczeństwa infrastruktury Bitcoin przyciągnął ostatnio uwagę, ponieważ głośne naruszenia bezpieczeństwa w branży kryptowalut utrzymują operatorów giełd i usług powierniczych w stanie pogotowia. Ujawnienie dotyczące Bitcoin Core należy do innej kategorii ryzyka — dotyczy otwartego oprogramowania węzłów, a nie systemów powierniczych — ale wzmacnia argument za terminowymi aktualizacjami oprogramowania w całej infrastrukturze powiązanej z Bitcoinem.

Operatorzy wydobycia w szczególności powinni traktować dwie luki o średnim poziomie zagrożenia równie poważnie jak lukę o wysokim poziomie. Błędna konfiguracja uprawnień Tor (CVE-2025-62860) i atak zatrzymujący przetwarzanie bloków poprzez compact blocks (CVE-2025-62859) dotknęły produkcyjne węzły mainnetu i zostały załatane w tym samym cyklu wydań. Uruchomienie najnowszego wspieranego wydania rozwiązuje wszystkie trzy problemy jednocześnie.

Nowa polityka ujawniania luk wykrywalnych przez AI w Bitcoin Core sygnalizuje, że przyszłe cykle poprawek mogą szybciej przechodzić od naprawy do publicznego ogłoszenia. Dla operacji wydobywczych i operatorów węzłów skraca to okres między udostępnieniem poprawki a szerokim ujawnieniem szczegółów luki, co czyni szybką aktualizację ważniejszą niż kiedykolwiek wcześniej.

Notatka redakcyjna: Artykuł został sprawdzony przez zespół CoinWy QC przed publikacją 11 listopada 2026 r. pod kątem poprawności nagłówka, oryginalnej wartości, spójności merytorycznej, metadanych, ujawnień komercyjnych i deklaracji autorstwa. CoinWy wykorzystuje AI do badań, przygotowywania i przeglądu treści; zespół redakcyjny odpowiada za każdy artykuł i w razie potrzeby poprawia lub wycofuje publikacje.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.