Bitcoin Core ujawnił szczegóły trzech błędów bezpieczeństwa, które naprawiono już w październiku 2025 roku. Jeden z nich sprawiał, że tysiące węzłów korzystających z Tora mogły traktować nieznane połączenia jak zaufane. Inna usterka mogła uniemożliwić węzłowi górniczemu tworzenie poprawnych bloków — aż do ponownego uruchomienia programu.
Połączenia przez Tor otrzymywały zbyt duże uprawnienia
Węzły Bitcoina weryfikują i przekazują transakcje oraz przechowują własną kopię blockchaina. Aby ograniczyć ryzyko przeciążenia, mogą nakładać limity na ruch przychodzący. Bitcoin Core oferuje też funkcję listy zaufanych połączeń, czyli whitelisty, która łagodzi część tych ograniczeń wobec wybranych komputerów.
Problem pojawiał się w konfiguracjach, w których Bitcoin Core współpracował z Torem. Oprogramowanie mogło uznać, że połączenie przychodzące przez Tor pochodzi z lokalnego, zaufanego komputera — a uprawnienia przypisane temu komputerowi obejmowały następnie także zewnętrznych użytkowników sieci.
Według komunikatu deweloperów w ten sposób tysiące publicznie dostępnych węzłów mogły zezwalać na takie traktowanie wszystkich połączeń przychodzących przez Tor. Luka dotyczyła jednak tylko operatorów, którzy włączyli odpowiednią konfigurację whitelisty. Zgłosili ją Martin Zumsande i Antoine Poinsot, a jej poziom zagrożenia oceniono jako średni.
Błąd mógł zatrzymać tworzenie bloków
Poważniejsza usterka dotyczyła obsługi transakcji po zmianie głównej wersji łańcucha. Gdy sieć odrzuca jeden z konkurujących łańcuchów, transakcje z porzuconych bloków mogą wrócić do mempoola, czyli puli oczekujących płatności.
W określonych warunkach Bitcoin Core mógł usunąć z tej puli transakcję, od której zależały inne. W efekcie węzeł próbowałby tworzyć bloki zawierające transakcje bez wymaganych danych wejściowych, a jego własne mechanizmy weryfikacji odrzucałyby takie bloki. Dotknięty problemem węzeł górniczy nie mógł wtedy przygotowywać poprawnych bloków, dopóki operator go nie zrestartował.
Błąd zgłosił Niklas Goegge we wrześniu 2025 roku. W opublikowanym komunikacie nie wskazano, by luka została wykorzystana w ataku.
Ujawnione błędy pokazują, jak istotne są zarówno poprawna konfiguracja węzłów, jak i regularne aktualizacje oprogramowania. Choć nie ma informacji o wykorzystaniu tych luk, ich skutki mogły być dotkliwe dla operatorów. Opóźnione publikowanie szczegółów ma dać użytkownikom czas na zabezpieczenie systemów.
Zobacz także: Cardano w chaosie: tymczasowy podział łańcucha po ataku z użyciem skryptu AI.
Możliwe było także spowalnianie węzłów
Trzecia podatność, również oceniona jako średnia, pozwalała złośliwemu połączeniu zatrzymać przetwarzanie nowych bloków na około 10 minut. Atakujący kontrolujący wszystkie trzy połączenia wykorzystywane do szybkiego przekazywania bloków mógł ponawiać zakłócenie. Komunikat wskazywał również konfigurację, w której węzeł przetwarza wyłącznie bloki, jako możliwy sposób powtarzania takiego ataku.
Wszystkie trzy błędy naprawiono w wydaniach z października 2025 roku. Szczegółowe ostrzeżenia opublikowano dopiero w listopadzie 2026 roku, po upływie czasu przewidzianego w zasadach ujawniania podatności przez projekt.
Dlaczego szczegóły opublikowano z opóźnieniem?
Zgodnie ze standardową procedurą Bitcoin Core informacje o błędach średniego i wysokiego poziomu zagrożenia są publikowane dwa tygodnie po zakończeniu wsparcia dla ostatniej podatnej serii oprogramowania. Taki odstęp ma dać operatorom czas na aktualizację, zanim pojawią się szczegóły, które mogłyby ułatwić wykorzystanie luki.
Seria 29.x, której dotyczył problem, przestała być wspierana 27 października 2026 roku. Ostrzeżenia opublikowano dwa tygodnie później. W październiku deweloperzy zmienili też zasady dla usterek łatwych do ponownego odkrycia, na przykład przy użyciu prostego polecenia dla modelu AI — w takich przypadkach planują szybciej udostępniać poprawki i informacje o zagrożeniu. Tym razem zastosowano jednak dotychczasowy harmonogram.