Desenvolvedores do Bitcoin Core publicaram avisos de segurança descrevendo três vulnerabilidades que foram corrigidas em outubro de 2025, incluindo uma falha de alta gravidade que poderia ter interferido na mineração após uma reorganização da blockchain. As divulgações, lançadas em 10 de nov., seguem a política do projeto de aguardar pelo menos duas semanas após o fim de vida das versões afetadas antes de tornar os detalhes públicos.

BTC / USD
Fonte: CoinGecko. Preços indicativos.

Atualização, 11 de nov., 23:08 UTC: Bitcoin.com informou que cerca de 9 % dos nós acessíveis ainda executavam versões vulneráveis no momento da divulgação, e que o desenvolvedor Greg Sanders mesclou a correção em 2 de out. 2025, segundo o veículo.

Atualização, 11 de nov., 20:00 UTC: De acordo com a Decrypt, nenhuma das três vulnerabilidades foi classificada como “crítica” pelo Bitcoin Core, e o projeto revisou recentemente sua política de segurança para incluir uma categoria para bugs detectáveis por IA, que serão corrigidos e divulgados imediatamente.

Atualização, 11 de nov., 16:38 UTC: Segundo a Unchained, as divulgações chegaram 396 dias após os patches terem sido enviados, e os textos foram publicados depois que a última linha vulnerável 29.x chegou ao fim de vida em 27 de out. 2026. O aviso ressalta que não há confirmação de exploração dos bugs.

Vulnerabilidade de mineração de alta gravidade (CVE‑2025‑62861)

A questão mais crítica, catalogada como CVE‑2025‑62861, foi reportada pelo pesquisador de segurança Niklas Goegge em 26 de set. 2025. Ela poderia ter causado um estado inconsistente da mempool após uma reorganização da cadeia, potencialmente impedindo mineradores de criar novos blocos. O bug afetou as versões 28.0‑28.2 e 29.0‑29.1 do Bitcoin Core e foi corrigido no Bitcoin Core 28.3.

Falhas de média gravidade (CVE‑2025‑62859 e CVE‑2025‑62860)

A segunda vulnerabilidade, CVE‑2025‑62859, foi identificada por Eugene Siegel em abril de 2025. Ela permitia que um par malicioso manipulasse dados de testemunho de transações, potencialmente atrasando o processamento de blocos em até dez minutos e possibilitando ataques repetidos a nós com certas configurações.

A terceira questão, CVE‑2025‑62860, relacionava‑se a nós que utilizavam a lista branca opcional do Tor. Milhares de nós mainnet acessíveis permitiram inadvertidamente conexões inbound via Tor, expondo‑os a possíveis abusos. Nós sem a configuração de lista branca não foram afetados.