Bitcoin Core, эталонная реализация протокола Bitcoin, раскрыл три ранее исправленные уязвимости, среди которых — ошибка высокой степени опасности, способная нарушить работу майнинга Bitcoin. Опубликованные 10 ноября 2026 года предупреждения описывают риски для создания блоков, обработки транзакций и сетевой приватности в более старых версиях ПО.

Раскрытие информации произошло более чем через год после выпуска исправлений, которые вошли в релиз октября 2025 года. Поскольку уязвимости затрагивали более старые версии Bitcoin Core, отложенное объявление вызывает обеспокоенность у майнеров и операторов узлов, всё ещё использующих необновлённое ПО.

Ошибка высокой степени опасности угрожала майнинговым операциям

Самая серьёзная проблема, обозначенная как CVE-2025-62861, затрагивала версии Bitcoin Core с 28.0 по 28.2 и с 29.0 по 29.1. Ошибка касалась обработки транзакций во время реорганизаций блокчейна — событий, при которых узлы Bitcoin переключаются на конкурирующую историю цепочки, широко известных как реорганизации (reorgs).

При определённых условиях ошибка могла привести пул памяти (mempool) в несогласованное состояние. Затронутые майнинговые узлы в таком случае могли не формировать корректные шаблоны блоков, что не позволяло им создавать новые блоки до перезапуска. Поскольку шаблоны блоков являются входными данными для майнингового оборудования, хешрейт пострадавшего оператора оставался бы незадействованным до восстановления работы узла.

Исследователь безопасности Никлас Гёгге (Niklas Goegge) сообщил об уязвимости в сентябре 2025 года. Разработчики устранили её в Bitcoin Core 30.0, выпущенном 10 октября 2025 года. Подробности приведены в официальном раскрытии информации.

Две уязвимости средней степени опасности создали сетевые риски

Наряду с ошибкой в майнинге Bitcoin Core раскрыл две уязвимости средней степени опасности, связанные с обработкой блоков и соединениями через сеть Tor.

Первая, CVE-2025-62859, позволяла злоумышленным пирам задерживать обработку блоков путём манипуляций witness-данными транзакций. Атакующие потенциально могли приостановить обработку до 10 минут и повторить сбой при определённых сетевых условиях — этот интервал сопоставим с десяти минутным циклом создания блоков, предусмотренным протоколом Bitcoin.

Вторая, CVE-2025-62860, затрагивала узлы, использующие определённые конфигурации whitelist в сочетании с соединениями Tor. Tor — это сеть анонимности, поддержка которой встроена в Bitcoin Core и которую операторы узлов часто используют для сокрытия своих IP-адресов. Ошибка могла ошибочно предоставлять доверенные разрешения входящим пир через Tor, ослабляя защиту от атак типа «отказ в обслуживании» и риски, связанные с приватностью. Разработчики признали, что тысячи доступных узлов основной сети Bitcoin имели конфигурации, подверженные этой проблеме, связанной с Tor, однако узлы без затронутых необязательных настроек whitelist остались вне опасности.

Раскрытие информации подчёркивает важность обслуживания узлов

Bitcoin Core выпустил исправления для всех трёх уязвимостей в версии 30.0, за которой последовали дополнительные патч-релизы. Последняя уязвимая линейка релизов утратила поддержку 27 октября 2026 года.

Опубликованные предупреждения следуют за более ранними выводами о безопасности, касавшимися управления памятью и стабильности узлов, и отражают устоявшуюся практику Bitcoin Core удерживать определённые детали уязвимостей до утраты поддержки затронутыми версиями ПО — распространённый подход скоординированного раскрытия, дающий пользователям время на обновление до того, как технические детали, способные помочь атакам на необновлённые узлы, станут публичными. Предупреждения от 10 ноября вышли примерно через две недели после даты окончания поддержки, и операторы могут оценить свою подверженность рискам, сравнив используемые релизы с указанными диапазонами версий из раскрытий.

Хотя последние раскрытия касаются уже исправленных ошибок, устаревшие установки могут оставаться уязвимыми. Операторы майнинга и администраторы узлов Bitcoin могут снизить эти риски, перейдя на поддерживаемые версии ПО, содержащие исправления, согласно отчёту CryptoMeter io.