Bitcoin Coreは2026年11月10日、多数の到達可能なメインネットノードにおける設定エラーにより、受信Tor接続が信頼ピアとして扱われていたことを明らかにした。CVE-2025-62860としてカタログ化された同問題は、Tor由来のノードに、通常は明示的にホワイトリスト登録されたアドレスにのみ適用されるDoS制限やプライバシー保護の免除を付与していた。

BTC / USD
出典：CoinGecko。価格は参考値です。

設定ミスの仕組み

問題の根源は、一部のオペレーターがローカルTorデーモンのIPアドレスを含めるために使用していた非デフォルトの-whitelistオプションにあった。Bitcoin Coreは、リモートのオニオンアドレスではなく、デーモンのローカルアドレスによって受信Tor接続を識別するため、そのホワイトリストを持つノードは、意図せずすべてのTorピアに同じ権限を付与していた。これにより、数千のノードがすべてのTorトラフィックに対するレート制限やプライバシー保護を解除し、DoS攻撃にさらされる可能性が生じた。

影響範囲とインパクト

影響を受けたのは、特定のホワイトリスト設定を有効化していたノードのみであり、それ以外のインストール環境は安全だった。アドバイザリーによると、人気のあるベンダーがBitcoin CoreとTor、および対応するホワイトリスト範囲をバンドルして提供しており、一部のクライアントソフトウェアではホワイトリスト登録が必須だったため、広範な暴露が生じた。この欠陥はウォレットへのアクセスや資金の直接窃取を可能にしなかったが、悪意あるトラフィックに対する防御策を除去することで、ネットワークのレジリエンスを弱めていた。

対策と次のステップ

脆弱性は2025年9月17日にパッチが適用され、2025年10月にリリースされたBitcoin Core 30.0、29.2、28.3に修正が組み込まれた。現在の32.1メンテナンスバージョンを含む、その後のすべてのリリースに修正が含まれている。Bitcoin Coreは現在、オペレーターに最新のメンテナンスリリースへのアップグレードと、ホワイトリストにTorデーモンのアドレスが含まれていないことの確認を推奨している。バージョン28.xと29.xはサポート終了（EOL）に達しているため、ユーザーはサポート対象の30.x、31.x、または32.xブランチへの移行を行うべきである。

今後の注目点

関係者は、特にバンドルされたノードソフトウェアを提供するプロバイダーにおける修正済みリリースの採用率を監視する。また、同様の過失を防ぐため、将来のBitcoin CoreアップデートがTor統合やホワイトリスト設定をどのように扱うかについても、さらなる注目が集まる可能性がある。