Bitcoin Core ujawnił trzy luki bezpieczeństwa w oprogramowaniu obsługującym większość sieci Bitcoin, w tym jedną usterkę o wysokiej wadze, która mogła zakłócić kopanie — wszystkie zostały już naprawione.

Luki, opisane w zestawie ostrzeżeń bezpieczeństwa opublikowanych przez projekt, obejmowały problemy typu denial-of-service i kwestie prywatności, a nie nic, co pozwoliłoby atakującemu ukraść monety lub podrobić bitcoin. Deweloperzy nie odnotowali dowodów na wykorzystanie luk w praktyce.

Bitcoin Core, open-source'owa implementacja referencyjna prowadzona głównie przez wolontariuszy, obsługuje większość węzłów w sieci — niezależnych komputerów, które samodzielnie weryfikują każdą transakcję i blok — więc luki w tym oprogramowaniu dotykają szerokiego zakresu infrastruktury walidacyjnej Bitcoina. Projekt klasyfikuje luki w czterech kategoriach, od „niskiej” przez „średnią” i „wysoką” po „krytyczną”. Żadna z trzech nie osiągnęła poziomu „krytycznego” — mieściły się w środku skali. Bitcoin Core rezerwuje najwyższy poziom dla błędów zagrażających kradzieżą monet na poziomie protokołu, nieautoryzowanym tworzeniem monet lub trwałym podziałem łańcucha w całej sieci.

Ryzyko uszkodzenia mempool

Najpoważniejszy problem, oznaczony jako CVE-2025-62861, dotyczył tworzenia szablonów bloków, procesu, na którym górnicy opierają się przy składaniu nowych bloków. Zgodnie z ostrzeżeniem reorganizacja łańcucha — scenariusz, w którym sieć zastępuje niedawno zbudowane bloki konkurencyjnym łańcuchem — mogła spowodować błędne usunięcieCertain transakcji, uszkadzając mempool węzła, czyli „poczekalnię” transakcji niepotwierdzonych, przez co dotknięty węzeł nie mógł tworzyć szablonów bloków do czasu ponownego uruchomienia.

Dla górnika oznacza to wstrzymanie pracy, która przynosi nagrody blokowe — nowo emitowane bitcoiny i opłaty transakcyjne płacone przy każdym bloku.

Druga luka, CVE-2025-62859, pozwalała peerowi zatrzymać przetwarzanie bloków przez węzeł poprzez ogłoszenie compact block ze zmanipulowanym świadkiem, formą malleacji transakcji. Compact blocks to oszczędzający pasmo format przekazywania, w którym węzły wymieniają krótkie identyfikatory transakcji zamiast pełnych danych bloku.

Trzecia luka, CVE-2025-62860, była problemem prywatności i bezpieczeństwa, w którym połączenia przychodzące przez anonimizującą sieć Tor zostały błędnie obdarowane uprawnieniami „whitelist”, znosząc różne zabezpieczenia przed denial-of-service i ochrony prywatności na dotkniętych węzłach.

Polityka ujawniania w erze AI

Te ujawnienia następują w czasie szerszych rozliczeń dotyczących tego, jak szybko obrońcy Bitcoina potrafią nadążyć za zmieniającym się krajobrazem zagrożeń. Bitcoin Core niedawno przepisał swoją politykę bezpieczeństwa z uwzględnieniem AI, dodając kategorię „łatwych do odkrycia” luk, które można wykryć za pomocą prostego prompta AI. Błędy w tej kategorii są teraz łatawe i ujawniane natychmiast, zamiast być trzymane w długiej embargu.

Ta zmiana odzwierciedla rosnące obawy, że duże modele językowe obniżyły próg wykrywania usterek — obawy podkreślane przez wolontariacki „Bitcoin Red Team”, który wyściguje się z odkrywaniem luk wykrywalnych przez AI w całym ekosystemie, zanim atakujący zdążą je wykorzystać. To poszukiwanie nadal trwa, co czyni przecięcie odkrywania błędów z pomocą AI i natychmiastowego ujawniania jednym z obszarów wartych obserwacji.

Same poprawki zostały wydane wcześniej, a ostrzeżenia opublikowano zgodnie z harmonogramem ujawnień Bitcoin Core — taka sekwencja daje operatorom węzłów czas na aktualizację przed upublicznieniem szczegółów technicznych. Operatorzy węzłów są ogólnie wzywani do uruchamiania najnowszego oprogramowania, aby pozostać chronionymi, ponieważ starsze wersje nie zawierają tych poprawek.