Bitcoin Core разкри три поправени уязвимости, една от които засяга добива

Bitcoin Core публикува на 10 ноември 2026 г. подробности за три уязвимости в сигурността, поправени през октомври 2025 г. Една е оценена с висока тежест, а две — със средна. Най-сериозният проблем може да попречи на засегнат възел да създава блокове след реорганизация на блокчейна.

Другите два бъга засягат защитите при входящи Tor връзки и обработването на блокове. Описаните последствия са прекъсване на работа и отслабени защити; съобщенията не описват механизъм за кражба на монети или увеличаване на емисията. В тях не се съобщава и за установена експлоатация, но това само по себе си не доказва, че такава никога не е имало.

Как трите уязвимости засягат възлите и майнърите?

Рискът зависи от конкретния бъг: невъзможност за подготвяне на блок, неправилно предоставени привилегии или забавено получаване на нови блокове.

Според съобщението за CVE-2025-62861 проблемът с висока тежест засяга версии 28.0–28.2 и 29.0–29.1. Niklas Goegge го докладва през септември 2025 г. При реорганизация трансакции от отпаднали блокове се връщат в mempool — локалния набор от непотвърдени трансакции. Правилата за TRUC трансакции могат погрешно да премахнат трансакция, оставяйки зависими от нея трансакции без необходимия предходен изход.

Полученият блоков шаблон не преминава проверката за валидност. Засегнатият възел не може да подготвя блокове до рестарт, който възстановява последователното състояние на mempool. При майнинга на Биткойн това прекъсва подготовката на работата за добив.

TRUC ограниченията са локална политика, а не консенсусни правила. Структура, недопустима при обичайно приемане в mempool, може да присъства във валиден блок. Разликата между двата вида правила е разгледана и в анализа за BIP 110.

CVE-2025-62860 за входящите Tor връзки е със средна тежест. При определена настройка -whitelist софтуерът погрешно третира външни връзки като доверени, защото вижда адреса на локалния Tor процес. Така отпадат ограничения срещу отказ на услуга и мерки срещу изтичане на информация. Според разработчиците подобни конфигурации са засегнали хиляди публично достижими възли. Без изрично зададената настройка възелът не е засегнат от този бъг.

Третият проблем, CVE-2025-62859 при обработването на компактни блокове, също е със средна тежест. Злонамерен участник може да подаде променени witness данни и да накара възела да чака до десет минути за блок от същия източник. При контрол над трите му високоскоростни връзки или при режим -blocksonly забавянето може да се повтаря неограничено.

Кои версии съдържат поправките и защо подробностите излизат сега?

Версии 29.2 и 30.0 съдържат поправки и за трите уязвимости. Версия 28.3 е посочена за първите две, но не и за проблема с компактните блокове.

Съпоставката има практическо значение: оператор на 28.3 не може да заключи, че и трите проблема са отстранени, само защото версията фигурира в две от съобщенията. Също така рестартът при първия бъг възстановява работата, но не премахва уязвимия код.

Bitcoin Core 30.0 излиза на 10 октомври 2025 г., а 29.2 — на 14 октомври. Публичното разкриване следва политиката за оповестяване на уязвимости: стандартният срок за проблеми със средна и висока тежест е две седмици след края на поддръжката на последната засегната версия. За тези случаи посочената дата е 27 октомври 2026 г., точно 14 дни преди съобщенията.

Таблицата показва кога са въведени поправките, а не кои версии са подходящ избор за инсталиране днес. За операторите проверката трябва да обхване едновременно наличието на поправките, поддръжката на използваната линия и собствената конфигурация.

Източници:

1. Bitcoin Core — CVE-2025-62861: блокиране на създаването на блокови шаблони
2. Bitcoin Core — CVE-2025-62860: неправилни привилегии за входящи Tor връзки
3. Bitcoin Core — CVE-2025-62859: забавяне при обработването на блокове
4. Bitcoin Core — политика за оповестяване и регистър на уязвимостите