Các nhà phát triển Bitcoin Core đã công bố các bản khuyến cáo bảo mật mô tả ba lỗ hổng đã được khắc phục vào tháng 10/2025, trong đó có một lỗi nghiêm trọng có thể can thiệp vào việc khai thác sau khi chuỗi khối được tổ chức lại. Các công bố, được phát hành vào ngày 10/11, tuân theo chính sách của dự án là chờ ít nhất hai tuần sau khi các phiên bản phần mềm bị ảnh hưởng hết vòng đời trước khi công khai chi tiết.

BTC / USD
Nguồn: CoinGecko. Giá chỉ mang tính tham khảo.

Cập nhật, 11/11, 23:08 UTC: Bitcoin.com báo cáo rằng khoảng 9% các nút có thể tiếp cận vẫn đang chạy các phiên bản có lỗ hổng tại thời điểm công bố, và nhà phát triển Greg Sanders đã hợp nhất bản vá vào ngày 2/10/2025, theo nguồn tin này.

Cập nhật, 11/11, 20:00 UTC: Theo Decrypt, không có lỗ hổng nào trong ba trường hợp được Bitcoin Core xếp loại là “critical”, và dự án gần đây đã sửa đổi chính sách bảo mật để bao gồm một danh mục cho các lỗi có thể được AI phát hiện, sẽ được vá và công bố ngay lập tức.

Cập nhật, 11/11, 16:38 UTC: Theo Unchained, các công bố được đưa ra 396 ngày sau khi các bản vá được phát hành, và các bài viết được xuất bản sau khi dòng 29.x cuối cùng đạt hết vòng đời vào ngày 27/10/2026. Bản khuyến cáo lưu ý rằng chưa có bằng chứng nào về việc khai thác các lỗi này.

Lỗi khai thác nghiêm trọng (CVE‑2025‑62861)

Vấn đề quan trọng nhất, được ghi nhận dưới mã CVE‑2025‑62861, được nhà nghiên cứu bảo mật Niklas Goegge báo cáo vào ngày 26/9/2025. Nó có thể gây ra trạng thái mempool không nhất quán sau khi chuỗi được tổ chức lại, tiềm năng ngăn các thợ mỏ tạo khối mới. Lỗi này ảnh hưởng đến các bản phát hành Bitcoin Core 28.0‑28.2 và 29.0‑29.1 và đã được khắc phục trong Bitcoin Core 28.3.

Lỗ hổng mức trung bình (CVE‑2025‑62859 và CVE‑2025‑62860)

Lỗ hổng thứ hai, CVE‑2025‑62859, được Eugene Siegel xác định vào tháng 4/2025. Nó cho phép một nút độc hại thao túng dữ liệu chứng kiến giao dịch, có thể làm chậm quá trình xử lý khối lên tới mười phút và cho phép các cuộc tấn công lặp lại trên các nút có cấu hình nhất định.

Vấn đề thứ ba, CVE‑2025‑62860, liên quan đến các nút sử dụng danh sách trắng Tor tùy chọn. Hàng nghìn nút mainnet có thể tiếp cận vô tình cho phép kết nối Tor vào, khiến chúng dễ bị lạm dụng. Các nút không bật cấu hình danh sách trắng không bị ảnh hưởng.

Tiến trình triển khai bản vá và thời gian công bố

Cả ba lỗ hổng đều đã được khắc phục vào tháng 10/2025. Các bản vá được tích hợp vào Bitcoin Core 30.0 (phát hành ngày 10/10), Bitcoin Core 29.2 (14/10) và bản cập nhật sớm hơn 28.3 cho lỗi khai thác. Việc công bố công khai bị hoãn phù hợp với chính sách bảo mật của Bitcoin Core, nhằm cho người dùng thời gian nâng cấp trước khi chi tiết được lan truyền rộng rãi.