Bitcoin Core публично раскрыл информацию о CVE-2025-62861 — уязвимости высокого уровня опасности, которая могла помешать майнинговым узлам создавать новые блоки после реорганизации цепочки. Уязвимость была незаметно исправлена более года назад, и её эксплуатация в реальных условиях подтверждена не была. Тем не менее это раскрытие показывает, насколько незаметно критические ошибки могут проходить через процесс разработки с открытым исходным кодом Bitcoin, прежде чем о них узнает более широкое сообщество. Само обозначение CVE происходит от системы Common Vulnerabilities and Exposures — стандартного реестра, который команды безопасности используют для отслеживания публично известных программных уязвимостей.

Ошибка, создававшая риск для майнинга

Bitcoin Core — это эталонная программная реализация, на которую полагается большинство полных узлов и майнинговой инфраструктуры для валидации транзакций и построения шаблонов блоков — кандидатов в блоки, которые узел собирает из своего mempool для хеширования майнерами. Это не то же самое, что сама сеть Bitcoin: сеть продолжает работать, пока достаточно узлов используют совместимое ПО, но дефект в Core всё же может создать серьёзные операционные проблемы для зависящих от него майнеров.

Согласно официальному advisories Bitcoin Core, CVE-2025-62861 была внесена в версию 28.0 вместе с функцией TRUC, также известной как v3 transaction relay — политикой ретрансляции, ограничивающей структуру определённых транзакций и их неподтверждённых потомков, чтобы сделать повышение комиссии для цепочек ожидающих транзакций более надёжным. Триггером стала реорганизация цепочки — процесс, при котором сеть заменяет недавно добавленные блоки конкурирующей цепочкой, обычно когда конкурирующие кандидаты в блоки находятся близко по времени. Во время такого реорга логика вытеснения соседних транзакций TRUC не проверяла флаг bypass_limits, который обычно применяется при повторном добавлении транзакций в mempool — область узла, где хранятся валидированные транзакции, ожидающие включения в блок. Результат: транзакции, тратившие уже несуществующие выходы, могли остаться в mempool, повреждая его состояние и предотвращая создание шаблонов блоков до перезапуска узла.

Практический риск был узким, но существенным. Майнинговый узел на уязвимой версии, столкнувшийся с реоргом, мог незаметно потерять способность собирать новые блоки и недополучать награды, пока оператор не заметил проблему и не перезапустил процесс. Поскольку реорганизации цепочки — нормальная, хоть и редкая, часть работы Bitcoin, сценарий не был теоретическим.

Ключевые факты раскрытия:

• Bitcoin Core выпустила исправления в v28.3, v29.2 и v30.0 для уязвимости высокого уровня опасности, которая могла остановить майнинговые узлы после реорганизации цепочки.
• Риск касался непрерывности майнинга, а не сети Bitcoin в целом; эксплуатация подтверждена не была.
• Операторам узлов и майнерам, использующим версии 28.0–28.2 или 29.0–29.1, следует ознакомиться с официальным advisories и обновиться.
• Исследователь безопасности Никлас Гёгге сообщил об ошибке 26 сентября 2025 года. Три дня спустя разработчик Грег Сандерс открыл PR #33504 с исправлением; он был объединён 2 октября 2025 года и бэкпортирован — ретроактивно применён к старым поддерживаемым линейкам релизов — на три линейки: v30.0 — 10 октября, v29.2 — 14 октября и v28.3 — 17 октября 2025 года.

Как сбой в майнинге мог отразиться на сети

Майнеры соревнуются в добавлении новых блоков в цепочку Bitcoin примерно каждые десять минут. Если узел не может построить корректный шаблон блока, он не может участвовать в этой гонке. Отключение одного узла вредит только его оператору; более масштабный сбой на множестве узлов с одной и той же уязвимой версией ПО теоретически мог бы замедлить темп подтверждения транзакций для всей сети.

В advisories Bitcoin Core подтверждено, что эксплуатации не было, а сеть не показала сбоев в период существования уязвимости. Тем не менее эпизод иллюстрирует операционную зависимость майнеров и операторов узлов от кодовой базы Core, особенно при внедрении новых функций ретрансляции транзакций вроде TRUC.

CVE-2025-62861 не была раскрыта в изоляции. Как сообщило Unchained Crypto, Bitcoin Core одновременно раскрыла ещё две уязвимости среднего уровня опасности: CVE-2025-62860, при которой входящие соединения Tor ошибочно получали разрешения из белого списка, что затронуло большое количество узлов основной сети, и CVE-2025-62859, при которой вредоносный пир мог остановить обработку блоков через злоупотребление компактными блоками. Компактные блоки — это экономящий пропускную способность формат ретрансляции, при котором узлы обмениваются короткими ссылками на транзакции вместо полных данных блока. Все три исправления были выпущены до даты раскрытия 10 ноября 2026 года.

Реакция криптосообщества в X была сдержанной: большинство комментаторов отметили, что исправления были доступны более года. В посте в X @TFTC21 написал, что худшая ошибка с рейтингом High могла оставить майнинговый узел без возможности строить блоки после реорга до перезапуска, и призвал всех, кто всё ещё использует версии старше 29.2 или 30.0, обратить на это внимание.

Длительное эмбарго — и новая политика раскрытия

Bitcoin Core удерживала публичное раскрытие примерно 396 дней после выпуска исправлений, ожидая именно окончания срока поддержки уязвимой линейки 29.x 27 октября 2026 года — момента, когда релиз перестаёт получать обновления безопасности. Этот срок заметно долог даже по историческим меркам самого проекта в области ответственного раскрытия. Подобные эмбарго — неотъемлемая часть координированного раскрытия уязвимостей: практика удержания технических деталей до тех пор, пока у затронутых пользователей не появится реалистичное окно для обновления.

Сроки также совпали с обновлением политики Bitcoin Core. Теперь проект намерен раскрывать уязвимости, обнаруживаемые ИИ-инструментами, сразу после выпуска исправлений, а не удерживать их под длительным эмбарго. Как сообщило Decrypt, это изменение отражает растущую обеспокоенность тем, что большие языковые модели могут помочь злоумышленникам заново обнаруживать известные ошибки по патчам раньше, чем операторы успеют обновиться.

Что делать операторам узлов, майнерам и пользователям

Операторы, использующие Bitcoin Core версий 28.0, 28.1, 28.2, 29.0 или 29.1, работают с ПО, содержащим критическую для майнинговых узлов уязвимость. Исправленные релизы — v28.3, v29.2 и v30.0. Операторам узлов и командам майнинговой инфраструктуры следует ознакомиться с официальным advisories по CVE и внутренними процедурами развёртывания перед обновлением, поскольку любое крупное обновление узлового ПО несёт собственные операционные риски и должно тестироваться в стейджинг-средах.

Пользователи, которые не управляют Bitcoin Core напрямую или майнинговой инфраструктурой, не должны предпринимать немедленных действий. Сеть Bitcoin не была нарушена, и подтверждение транзакций не пострадало в период существования уязвимости.

Общая картина безопасности инфраструктуры Bitcoin привлекает внимание в последнее время, поскольку громкие инциденты безопасности в криптоиндустрии держат операторов бирж и кастодиальных сервисов в напряжении. Раскрытие Bitcoin Core относится к иной категории рисков — оно касается узлового ПО с открытым кодом, а не кастодиальных систем, — но подчёркивает важность своевременных обновлений для всей смежной с Bitcoin инфраструктуры.

Операторам майнинга, в частности, следует относиться к двум уязвимостям среднего уровня так же серьёзно, как и к критической. Неверная настройка разрешений Tor (CVE-2025-62860) и атака с остановкой обработки через компактные блоки (CVE-2025-62859) обе затронули продакшн-узлы основной сети и были исправлены в том же цикле релизов. Использование последней поддерживаемой версии устраняет все три проблемы одновременно.

Новая политика раскрытия ошибок, обнаруживаемых ИИ, сигнализирует, что будущие циклы патчей могут быстрее переходить от исправления к публичному объявлению. Для майнинговых операций и операторов узлов это сокращает окно между появлением патча и широким распространением деталей уязвимости, делая быстрое обновление более важным, чем когда-либо ранее.

Редакционное примечание: статья проверена командой CoinWy QC перед публикацией 11 ноября 2026 года на соответствие заголовка, оригинальность, фактическую точность, метаданные, коммерческие раскрытия и данные об авторстве. CoinWy использует ИИ для исследований, подготовки и проверки; редакционная команда отвечает за каждую статью и при необходимости исправляет или отзывает материалы.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов сопряжены со значительным риском. Всегда проводите собственное исследование перед принятием решений.