Bitcoin Core раскрыл три уязвимости, одна из которых могла остановить майнинг

Проект Bitcoin Core 10 ноября 2026 года опубликовал техническое описание трёх уязвимостей. Самая серьёзная из них, CVE-2025-62861, классифицирована как высокой степени опасности и могла остановить работу майнинговых ферм. Исправления для всех трёх ошибок вышли ещё в октябре 2025 года, но подробности оставались закрытыми до ноября 2026-го.

Как ошибка могла остановить майнинг

CVE-2025-62861 затрагивала версии Bitcoin Core с 28.0 по 28.2 и с 29.0 по 29.1. Проблема касалась транзакций версии 3, которые часто называют транзакциями TRUC. Они работают в условиях особых ограничений для мемпула, то есть пула неподтверждённых транзакций, ожидающих включения в блок.

При реорганизации цепочки Bitcoin Core мог некорректно удалить часть транзакций и оставить зависящие от них. Пул транзакций после этого расходился с реальным состоянием сети. Затронутые узлы не могли пройти проверку шаблонов блоков, поэтому до перезапуска не формировали новые задания для майнинга. Оборудование при этом продолжало хешировать устаревшие шаблоны, что вело к потере комиссий и падению эффективности.

Сообщил о дефекте исследователь безопасности Никлас Гёгге 26 сентября 2025 года. Разработчик Грег Сандерс подготовил исправление, которое 2 октября вошло в код. Патчи появились в версиях 30.0, 29.2 и 28.3 в течение октября 2025 года. Однако примерно 9 % доступных узлов в период, близкий к раскрытию, продолжали анонсировать уязвимые версии.

Две другие уязвимости

CVE-2025-62859 получила среднюю степень опасности. Она связана с компактными блоками, которые специально сконструированный блок мог использовать для многократной задержки загрузки блоков. При скомпрометированных соединениях с высокопроизводительными узлами такая задержка могла продолжаться бесконечно. Ошибку нашёл исследователь Юджин Сигел в апреле 2025 года, исправление разработал Грег Сандерс, оно вошло в версии 30.0 и 29.2.

CVE-2025-62860 связана с входящими подключениями через Tor. Если оператор добавлял в необязательный параметр -whitelist адрес собственного демона Tor, входящие подключения могли по ошибке получать привилегии доверенных пиров. Эти исключения ослабляли защиту от атак типа «отказ в обслуживании» и меры конфиденциальности. В Bitcoin Core сообщили, что потенциально затронуты тысячи доступных узлов основной сети, однако стандартные конфигурации остались безопасными.

Почему раскрыли только сейчас

Разработчики придерживались графика раскрытия, согласно которому технические детали публикуются после того, как последняя уязвимая версия основной линейки 29.x достигает конца срока поддержки. Этот срок наступил 27 октября 2026 года. Все три уязвимости раскрыты по обычной процедуре эмбарго.

По словам разработчиков, ни одна из них не позволяла украсть биткоины или создать монеты сверх выпуска, и сбоя консенсуса они не вызывали. Случаев использования уязвимостей не зафиксировано. Уязвимость, связанная с майнингом, срабатывала только при определённом сочетании условий реорганизации, поэтому последствия ограничивались затронутыми операторами, а не сетью в целом.

Для майнеров и администраторов узлов это важно: обновление программы остаётся обязательным, даже если средства пользователей не под угрозой. Ошибка в обработке транзакций может создать операционные сбои, не затрагивая базовый консенсус.