Розробники Bitcoin Core опублікували рекомендації з безпеки, у яких описано три вразливості, виправлені у жовтні 2025 р., включаючи високосерйозний недолік, який міг завадити майнінгу після реорганізації блокчейну. Розкриття, опубліковане 10 листопада, відповідає політиці проєкту, що передбачає мінімум два тижні очікування після завершення підтримки уразливих версій перед публікацією деталей.

BTC / USD
Джерело: CoinGecko. Ціни орієнтовні.

Update, Nov 11, 23:08 UTC: Bitcoin.com повідомив, що близько 9 % досяжних вузлів все ще працювали на уразливих версіях на момент розкриття, а розробник Грег Сандерс злив виправлення 2 жовтня 2025 р., згідно з джерелом.

Update, Nov 11, 20:00 UTC: За даними Decrypt, жодна з трьох вразливостей не була класифікована як «критична» Bitcoin Core, і проєкт нещодавно оновив свою політику безпеки, додавши категорію для багів, виявлених ШІ, які будуть виправлені та розкриті негайно.

Update, Nov 11, 16:38 UTC: За даними Unchained, розкриття відбулося через 396 днів після випуску патчів, а статті були опубліковані після того, як остання уразлива гілка 29.x завершила підтримку 27 жовтня 2026 р. У повідомленні зазначено, що не підтверджено експлуатацію цих багів.

Високосерйозна вразливість майнінгу (CVE‑2025‑62861)

Найбільш критичний недолік, зареєстрований як CVE‑2025‑62861, був повідомлений дослідником безпеки Нікласом Гьоге 26 вересня 2025 р. Він міг спричинити несумісний стан mempool після реорганізації ланцюга, потенційно перешкоджаючи майнерам створювати нові блоки. Баг стосувався випусків Bitcoin Core 28.0‑28.2 і 29.0‑29.1 і був виправлений у Bitcoin Core 28.3.

Вразливості середньої серйозності (CVE‑2025‑62859 та CVE‑2025‑62860)

Друга вразливість, CVE‑2025‑62859, була виявлена Юджином Зігелем у квітні 2025 р. Вона дозволяла зловмисному вузлу маніпулювати даними свідчень транзакцій, потенційно затримуючи обробку блоків до десяти хвилин і даючи можливість повторюваних атак на вузли з певними налаштуваннями.

Третій недолік, CVE‑2025‑62860, стосувався вузлів, що використовували необов’язковий білий список Tor. Тисячі досяжних основних вузлів випадково дозволяли вхідні Tor‑з’єднання, піддаючи їх потенційному зловживанню. Вузли без налаштування білого списку не постраждали.

Таймлайн випуску патчів та розкриття

Усі три вразливості були виправлені у жовтні 2025 р. Патчі включені в Bitcoin Core 30.0 (випущений 10 жовтня), Bitcoin Core 29.2 (14 жовтня) та ранніше оновлення 28.3 для багу майнінгу. Затримка публічного оголошення відповідає політиці безпеки Bitcoin Core, яка дає користувачам час оновитися перед широким розповсюдженням деталей.