Bitcoin Core onthult Tor-vertrouwensfout en bug in mining-node, in oktober gepatcht

De reorganisatiefout in mining-nodes

CVE-2025-62861 trof de versies 28.0 tot en met 28.2 en 29.0 tot en met 29.1. De fout ontstaat tijdens chain-reorganisaties, wanneer transacties uit losgekoppelde blokken terugkeren naar de mempool, de pool van de node met wachtende transacties. Version 3-transacties, bekend als TRUC-transacties, beperken normaal gesproken de relaties tussen onbevestigde transacties, en terugkerende transacties zouden die beperkingen tijdens een reorg moeten omzeilen. Een regel voor transactievervanging bleef in dat proces actief, waardoor een teruggezette transactie kon worden verwijderd terwijl afhankelijke transacties achterbleven. De daardoor ontstane inconsistente mempool zorgde ervoor dat blocktemplates niet door de validatie kwamen, en de blokproductie kon pas worden hervat na een herstart die de mempool opnieuw laadde. Niklas Goegge meldde het probleem op 26 september 2025, en de correctie werd op 2 oktober samengevoegd. Ontwikkelaar Greg Sanders legde in de documentatie bij de oplossing uit dat het overslaan van TRUC-controles tijdens reorgs het beoogde gedrag was, maar dat het bijbehorende bypass-argument niet was gecontroleerd.

Vertraging door compact blocks

CVE-2025-62859 is een kwetsbaarheid met gemiddelde ernst in compact blocks, een methode om bandbreedte te besparen bij het doorgeven van blokken tussen nodes. Een kwaadwillende peer die eerst een compact block aankondigt, kan ertoe leiden dat een slachtoffer het volledige blok bij diezelfde peer opvraagt en een time-out van 10 minuten uitzit, na een mislukte controle op gewijzigde transactiegetuigedata. Volgens de melding zou een aanvaller die alle drie de high-bandwidth-peers van een slachtoffer controleert, de vertraging onbeperkt kunnen herhalen. Nodes die met -blocksonly draaiden, waren eveneens vatbaar voor herhaalde vertraging. Eugene Siegel meldde de fout op 28 april 2025.

Timing van de melding

Het openbaarmakingsbeleid van Bitcoin Core houdt details van medium- en high-ernst doorgaans tot twee weken nadat de laatste getroffen release het einde van zijn levensduur heeft bereikt. De gepubliceerde tijdlijn laat zien dat de Tor-oplossing ongeveer zeven weken vóór de openbare melding werd samengevoegd, en de mining-oplossing ongeveer vijf weken. Berichtgeving van bronnen verschilt over hoe de timing moet worden omschreven: CoinDesk beschrijft de Tor-fout als iets dat tot dinsdag stil werd gehouden, terwijl Crypto.news de melding kadert als ontwikkelaars die details vrijgeven samen met de andere twee kwetsbaarheden na de datum van het einde van de ondersteuning van de 29.x-release. Beide verslagen zijn het eens over de patchdata en de aanleiding van het einde van de ondersteuning, en de adviezen zelf omschrijven de melding niet als vertraagd buiten het beleid.

Operators die getroffen versies of whitelist-configuraties draaien, vormen het primaire publiek voor het advies, en de gepatchte releases zijn het gedocumenteerde herstelpad.

Waarom het ertoe doet

Voor traders

De fouten zijn gepatcht en het mining-probleem trof alleen specifieke versiebereiken, dus de directe impact op de koers is waarschijnlijk beperkt, al moeten miners op getroffen releases worden gecontroleerd.

Voor investeerders

Dit soort onthullingen belicht het beveiligingsreviewproces dat Bitcoin Core op zijn codebase toepast, een factor die relevant is voor het vertrouwen op de lange termijn in nodesoftware.

Voor bouwers

Wie diensten heeft die afhankelijk zijn van -whitelist of Tor-peervertrouwen, moet de configuratie controleren en bevestigen dat ze releases 30.0, 29.2 of 28.3 en later draaien.