Разработчики Bitcoin Core опубликовали рекомендации по безопасности, описывающие три уязвимости, исправленные в октябре 2025 г., включая серьезный дефект, могший вмешаться в майнинг после реорганизации блокчейна. Раскрытие, опубликованное 10 ноября, следует политике проекта, предусматривающей минимум две недели ожидания после окончания поддержки затронутых версий перед публичным раскрытием деталей.

BTC / USD
Источник: CoinGecko. Цены ориентировочные.

Update, Nov 11, 23:08 UTC: Bitcoin.com сообщил, что около 9 % доступных узлов всё ещё работали на уязвимых версиях на момент раскрытия, а разработчик Greg Sanders внедрил исправление 2 октября 2025 г., согласно источнику.

Update, Nov 11, 20:00 UTC: По данным Decrypt, ни одна из трёх уязвимостей не была классифицирована как «критическая» в Bitcoin Core, а проект недавно обновил политику безопасности, добавив категорию багов, обнаруживаемых ИИ, которые будут исправляться и раскрываться немедленно.

Update, Nov 11, 16:38 UTC: Согласно Unchained, раскрытие произошло через 396 дней после выпуска патчей, а материалы были опубликованы после окончания поддержки последней уязвимой ветки 29.x 27 октября 2026 г. В рекомендациях отмечается, что подтверждения эксплуатации багов нет.

High‑Severity Mining Vulnerability (CVE‑2025‑62861)

Самая критическая проблема, зарегистрированная как CVE‑2025‑62861, была сообщена исследователем безопасности Niklas Goegge 26 сентября 2025 г. Она могла вызвать несогласованное состояние mempool после реорганизации цепочки, потенциально лишая майнеров возможности создавать новые блоки. Баг затронул релизы Bitcoin Core 28.0‑28.2 и 29.0‑29.1 и был исправлен в Bitcoin Core 28.3.

Medium‑Severity Flaws (CVE‑2025‑62859 and CVE‑2025‑62860)

Вторая уязвимость, CVE‑2025‑62859, была выявлена Eugene Siegel в апреле 2025 г. Она позволяла злоумышленнику‑пиру манипулировать данными witness транзакций, потенциально задерживая обработку блоков до десяти минут и позволяя повторные атаки на узлы с определёнными настройками.

Третья проблема, CVE‑2025‑62860, касалась узлов, использующих необязательный белый список Tor. Тысячи доступных основных узлов случайно разрешали входящие Tor‑соединения, открывая их для возможных злоупотреблений. Узлы без настройки белого списка не пострадали.

Patch Rollout and Disclosure Timeline

Все три уязвимости были исправлены в октябре 2025 г. Патчи вошли в Bitcoin Core 30.0 (выпущен 10 октября), Bitcoin Core 29.2 (14 октября) и более раннее обновление 28.3 для майнингового бага. Отложенное публичное объявление соответствует политике безопасности Bitcoin Core, которая даёт пользователям время обновиться до широкого распространения деталей.