„Bitcoin Core“ kūrėjai paviešino informaciją apie tris jau ištaisytas saugumo spragas, iš kurių viena įvardyta kaip didelio pavojingumo ir galėjo sutrikdyti kai kurių kasėjų (mining) mazgų darbą.
Kaip rašo „The Block“, didžiausia spraga galėjo lemti, kad paveikti kasimo mazgai nebesuformuotų galiojančių bloko šablonų – tai praktikoje reiškia, kad mazgui tampa sunku ar neįmanoma normaliai tęsti blokų kūrimo proceso.
Visų trijų pažeidžiamumų pataisymai „Bitcoin Core“ programinėje įrangoje pasirodė dar 2025 metų spalį. Apie vieną problemą pranešta 2025 metų balandį, o apie dvi kitas – 2025 metų rugsėjį.
Pažeidžiamumai buvo susiję ne tik su kasimo mazgais: vienas jų galėjo dirbtinai lėtinti blokų apdorojimą, o kitas – tam tikromis konfigūracijomis suteikti „Tor“ ryšiams papildomas „whitelist“ (patikimų) teises, taip susilpninant dalį apsaugų.
Didelio pavojingumo klaida kasėjams
Didelio pavojingumo spraga CVE-2025-62861 paveikė „Bitcoin Core“ 28.0–28.2 ir 29.0–29.1 versijas. Aprašyme nurodoma, kad problema kilo dėl to, kaip po grandinės reorganizacijos (chain reorg) į „mempool“ grįžusioms transakcijoms buvo taikomos TRUC taisyklės.
Dėl klaidos galėjo susidaryti nenuosekli „mempool“ būsena: viena transakcija būdavo pašalinama, bet jos „palikuonys“ (descendants) – ne, todėl kasėjų mazgams tapdavo sudėtinga sudaryti galiojančius bloko šablonus.
Skelbiama, kad paveikti kasėjai turėdavo iš naujo paleisti savo mazgus, kad vėl galėtų kurti galiojančius blokų šablonus.
Dvi vidutinio pavojingumo spragos
Kita – vidutinio pavojingumo – spraga CVE-2025-62859 buvo susijusi su „compact blocks“ ir vadinamąja witness malleation. Teigiama, kad piktavalis tinklo dalyvis galėjo priversti mazgą vėluoti apdorojant blokus iki 10 minučių.
Įspėjime pažymėta, kad ataka galėjo būti kartojama neribotai prieš mazgus, veikiančius „-blocksonly“ režimu, arba tais atvejais, kai užpuolikas kontroliavo visus tris didelio pralaidumo (high-bandwidth) ryšius.
Trečioji spraga CVE-2025-62860 buvo aktuali tik specifinei, ne numatytajai konfigūracijai: kai naudota „-whitelist“ parinktis ir jos IP diapazonas apėmė „Tor“ tarpinį serverį (proxy). Tokiu atveju įeinantys „Tor“ ryšiai galėjo gauti „whitelist“ teises.
„Bitcoin Core“ teigimu, „tūkstančiai“ pasiekiamų pagrindinio tinklo (mainnet) mazgų buvo suteikę „Tor“ ryšiams tokias teises, taip panaikindami dalį apsaugų nuo paslaugos trikdymo (DoS) ir privatumo mechanizmų. Mazgai, kuriuose „whitelist“ nenustatyta, šios problemos nepatyrė.
Kada pasirodė pataisymai
Skelbiama, kad „Bitcoin Core“ 30.0 versija su visų trijų spragų pataisymais išleista 2025 metų spalio 10 dieną, o 29.2 versija – 2025 metų spalio 14 dieną.
Taip pat nurodoma, kad paskutinė pažeidžiama „Bitcoin Core“ versija šių metų spalio 27 dieną pasiekė „end of life“ (nebepalaikoma) būseną.
Anksčiau viešojoje erdvėje buvo pasirodžiusi ir atskira informacija apie kitą – su atminties sauga susijusią – didelio pavojingumo „Bitcoin Core“ spragą, kuri taip pat buvo pataisyta dar prieš viešą atskleidimą.