Bitcoin Core раскрыл три уязвимости с исправлениями в версиях 28.3, 29.2 и 30.0

Bitcoin Core 10 ноября 2026 года раскрыл детали трёх уязвимостей, закрытых в релизах 28.3, 29.2 и 30.0. Одна из них связана с обработкой Tor-соединений, две другие касаются задержки блоков и состояния мемпула после реорганизации цепочки.

Доверенный статус всем входящим Tor-пирам

Уязвимость CVE-2025-62860 получила среднюю степень опасности. Узел определяет адрес входящего пира из сети Tor по IP-адресу демона Tor, который обычно запущен на той же машине или в локальной сети. Параметр -whitelist отключает для доверенных пиров часть защиты от DoS-атак и утечек приватности. Если прописанный в нём диапазон совпадал с адресом Tor-прокси, узел автоматически записывал в доверенные все входящие соединения через Tor.

По данным проекта, под проблему попадали распространённые сборки с Tor и клиентские программы, которым требовался параметр -whitelist. Так были настроены тысячи узлов в основной сети. Узлы, где этот параметр оставлен по умолчанию, не пострадали. Ошибку нашли Мартин Зумзанде и Антуан Пуансо, исправление вошло в 28.3, 29.2 и 30.0.

Задержка блоков до 10 минут

Вторая уязвимость, CVE-2025-62859, тоже средней опасности. Она позволяла тормозить обработку блоков: атакующий отправлял некорректный компакт-блок, узел повторно запрашивал блок у того же пира и ждал до 10 минут. Повторять задержку можно было без ограничения по времени, если узел работал в режиме -blocksonly или атакующий контролировал трёх пиров с высоким приоритетом. Заплатка вышла в 29.2 и 30.0.

Высокая опасность: мемпул после реорганизации

Третьей уязвимости, CVE-2025-62861, проект присвоил высокую степень опасности. При реорганизации цепочки ошибка в правилах для транзакций версии 3 (TRUC) могла оставить в мемпуле транзакции, которые тратят уже несуществующие выходы. Такой узел не мог собрать действительный шаблон блока, пока его не перезапустят. Это операционный риск для майнеров, а не угроза консенсусу сети.

Почему детали появились именно сейчас

Bitcoin Core публикует сведения об уязвимостях средней и высокой опасности через две недели после того, как завершилась поддержка последнего затронутого релиза. Ветку 29.x перестали поддерживать 27 октября 2026 года, детали обнародовали 10 ноября. Порядок закреплён в политике раскрытия уязвимостей проекта. Владельцам узлов, которые ещё работают на старых версиях, стоит проверить, не задан ли у них -whitelist с диапазоном, совпадающим с адресом Tor-прокси.