Bitcoin Core, referencyjna implementacja protokołu Bitcoin, ujawnił trzy wcześniej załatane luki bezpieczeństwa, w tym usterkę o wysokim poziomie zagrożenia, która mogła zakłócić działanie kopania Bitcoina. Publikacje dotyczące bezpieczeństwa, opublikowane 10 listopada 2026 roku, opisują zagrożenia dla tworzenia bloków, przetwarzania transakcji oraz prywatności sieci w starszych wersjach oprogramowania.

Ujawnienie pojawiło się ponad rok po samych poprawkach, wydanych w październiku 2025 roku. Ponieważ luki dotyczyły starszych wersji Bitcoin Core, opóźnione ogłoszenie budzi obawy wśród kopaczy i operatorów węzłów wciąż korzystających z niezałatanego oprogramowania.

Usterka o wysokim poziomie zagrożenia zagrażała operacjom kopania

Najpoważniejszy problem, zarejestrowany jako CVE-2025-62861, dotyczył wersji Bitcoin Core od 28.0 do 28.2 oraz od 29.0 do 29.1. Usterka związana była z obsługą transakcji podczas reorganizacji łańcucha bloków — zdarzeń, w których węzły Bitcoina przełączają się na alternatywną historię łańcucha, powszechnie nazywanych reorgami.

W określonych warunkach błąd mógł doprowadzić pamięć operacyjną transakcji, czyli mempool, do stanu niespójnego. Dotknięte tym problemem węzły kopiące mogły nie być w stanie generować poprawnych szablonów bloków, co uniemożliwiało im wydobywanie nowych bloków do czasu ponownego uruchomienia. Ponieważ szablony bloków stanowią dane wejściowe dla sprzętu kopiącego, hashrate dotkniętego operatora pozostawał bezczynny, dopóki węzeł nie został przywrócony do działania.

Badacz bezpieczeństwa Niklas Goegge zgłosił lukę we wrześniu 2025 roku. Deweloperzy naprawili ją w Bitcoin Core 30.0, wydanym 10 października 2025 roku. Szczegóły dostępne są w oficjalnym ujawnieniu.

Dwie luki o średnim poziomie zagrożenia ujawniły ryzyka sieciowe

Oprócz usterki dotyczącej kopania Bitcoin Core ujawnił dwie luki o średnim poziomie zagrożenia, związane z przetwarzaniem bloków oraz połączeniami sieci Tor.

Pierwsza z nich, CVE-2025-62859, pozwalała złośliwym peerom opóźniać przetwarzanie bloków poprzez manipulowanie danymi świadków transakcji. Atakujący mogli potencjalnie zatrzymać przetwarzanie na maksymalnie 10 minut i powtórzyć zakłócenie w określonych warunkach sieciowych — okno czasowe porównywalne z dziesięciominutowym interwałem bloków, do którego dąży protokół Bitcoina.

Druga, CVE-2025-62860, dotyczyła węzłów korzystających z określonych konfiguracji listy dozwolonych w połączeniu z połączeniami Tor. Tor to sieć anonimowości natywnie obsługiwana w Bitcoin Core, często wykorzystywana przez operatorów węzłów w celu ukrycia adresów IP. Luka mogła błędnie przyznawać zaufane uprawnienia przychodzącym peerom z sieci Tor, osłabiając ochronę przed atakami typu denial-of-service oraz ryzykami związanymi z prywatnością. Deweloperzy przyznali, że tysiące osiągalnych węzłów mainnetu Bitcoina miało konfiguracje narażające je na problem związany z Torem, choć węzły bez dotkniętych ustawień opcjonalnej listy dozwolonych pozostały niezagrożone.

Ujawnienia podkreślają znaczenie utrzymania węzłów

Bitcoin Core wydał poprawki dla wszystkich trzech luk w wersji 30.0, a następnie w kolejnych wydaniach z poprawkami. Ostatnia podatna linia wydań osiągnęła koniec wsparcia 27 października 2026 roku.

Publikacje nastąpiły po wcześniejszych ustaleniach dotyczących zarządzania pamięcią i stabilności węzłów i odzwierciedlają ugruntowaną praktykę Bitcoin Core polegającą na wstrzymywaniu szczegółów niektórych luk do czasu utraty wsparcia przez dotknięte wersje oprogramowania — powszechnie stosowane podejście do skoordynowanego ujawniania, które daje użytkownikom czas na aktualizację, zanim szczegóły techniczne mogące ułatwić ataki na niezałatane węzły staną się publiczne. Publikacje z 10 listopada ukazały się około dwa tygodnie po dacie końca wsparcia, a operatorzy mogą ocenić swoje narażenie, porównując wdrożone wersje z zakresami wersji wskazanymi w ujawnieniach.

Chociaż najnowsze ujawnienia dotyczą luk, które zostały już naprawione, nieaktualne instalacje mogą pozostawać zagrożone. Operatorzy kopania i administratorzy węzłów Bitcoina mogą ograniczyć te ryzyka, aktualizując oprogramowanie do wspieranych wersji zawierających poprawki bezpieczeństwa, zgodnie z raportem CryptoMeter io.