Bitcoin Core раскрыл информацию о трех уязвимостях в ПО, на котором работает большая часть сети Bitcoin, включая одну ошибку высокой степени опасности, которая могла нарушить работу майнинга; все они уже исправлены.

Уязвимости, подробно описанные в серии уведомлений о безопасности, опубликованных проектом, касаются проблем отказоустойчивости (DoS) и конфиденциальности, а не того, что позволило бы злоумышленнику украсть монеты или подделать биткоин. Разработчики не сообщили о признаках эксплуатации этих уязвимостей в реальных условиях.

Bitcoin Core — эталонная реализация с открытым исходным кодом, поддерживаемая в основном волонтерами, — обслуживает большинство узлов сети, то есть независимых компьютеров, самостоятельно проверяющих каждую транзакцию и блок, поэтому уязвимости в этом ПО затрагивают значительную часть инфраструктуры валидации Bitcoin. Проект классифицирует уязвимости по четырем уровням — от «низкого» через «средний» и «высокий» до «критического». Ни одна из трех не достигла уровня «критической», оказавшись в середине шкалы. Этот высший уровень Bitcoin Core оставляет для ошибок, которые угрожают кражей монет на уровне протокола, несанкционированным созданием монет или постоянным разделением сети на уровне всей цепочки.

Риск повреждения mempool

Самая серьезная проблема, обозначенная как CVE-2025-62861, касается создания шаблонов блоков — процесса, на который опираются майнеры при формировании новых блоков. Согласно уведомлению, реорганизация цепочки — сценарий, при котором сеть заменяет недавно созданные блоки конкурирующей цепочкой, — могла вызвать ошибочное вытеснение некоторых транзакций. Это повредило бы mempool узла, «зал ожидания» неподтвержденных транзакций, лишив пострадавший узел возможности создавать шаблоны блоков до его перезапуска.

Для майнера это означает остановку самой работы, за которую начисляются награды за блоки — вновь эмитированные биткоины и комиссии за транзакции, выплачиваемые с каждым блоком.

Вторая уязвимость, CVE-2025-62859, позволяла участнику сети задержать обработку блоков узлом, анонсируя compact block с манипулированным witness — форму транзакционной мутабельности. Compact block — это экономящий пропускную способность формат ретрансляции, в котором узлы обмениваются короткими идентификаторами транзакций вместо полных данных блока.

Третья уязвимость, CVE-2025-62860, была связана с конфиденциальностью и безопасностью: входящим соединениям через анонимную сеть Tor ошибочно предоставлялись права «whitelist», что отключало различные защиты от DoS-атак и механизмы защиты конфиденциальности на затронутых узлах.

Политика раскрытия в эпоху ИИ

Эти раскрытия происходят на фоне более широкого обсуждения того, насколько быстро защитники Bitcoin могут поспевать за меняющимся ландшафтом угроз. Bitcoin Core недавно переписал свою политику безопасности с учетом ИИ, добавив категорию «легко обнаружимых» уязвимостей, которые можно выявить с помощью простого запроса к ИИ. Ошибки из этой категории теперь исправляются и раскрываются немедленно, а не удерживаются под долгим эмбарго.

Этот сдвиг отражает растущую обеспокоенность тем, что большие языковые модели снизили порог входа для поиска уязвимостей, — опасение, которое подчеркивает волонтерская «Bitcoin Red Team», спешащая выявлять уязвимости, обнаруживаемые с помощью ИИ, по всей экосистеме до того, как ими воспользуются злоумышленники. Эта охота продолжается, что делает пересечение поиска уязвимостей с помощью ИИ и немедленного раскрытия информации одним из направлений, за которыми стоит следить.

Сами исправления вышли ранее, а уведомления последовали в рамках графика раскрытия информации Bitcoin Core — такая последовательность дает операторам узлов время обновиться до публикации технических деталей. Операторам узлов в целом рекомендуется использовать новейшую версию ПО для сохранения защиты, поскольку старые релизы не содержат этих исправлений.