Команда Bitcoin Core раскрыла технические детали уязвимости CVE-2025-62861 в основном программном клиенте биткоина (BTC). Проблема затрагивала версии Bitcoin Core 28.0–28.2 и 29.0–29.1 и могла приводить к незаметной остановке выдачи актуальных шаблонов для майнинга, хотя сама нода сохраняла признаки нормальной работы.
Сбой был связан с процессом реорганизации цепочки. Когда нода переключается на более тяжёлую конкурирующую ветку, транзакции из отменённых блоков возвращаются в мемпул со специальным флагом bypass_limits, который отключает антиспам-проверки. Однако механизм sibling eviction, появившийся в версии 28.0 для соблюдения правила BIP 431, продолжал действовать и при установленном флаге. Это правило допускает не более одного неподтверждённого родителя и одного ребёнка для транзакций TRUC, но оно относится к политике ретрансляции, а не к консенсусу. В результате после восстановления TRUC-родителя с несколькими дочерними транзакциями одна из них могла быть принудительно вытеснена, а в мемпуле оставались дочерние транзакции, чей родитель отсутствовал и в цепочке, и в пуле.
С точки зрения майнера главный симптом — ошибка при вызове getblocktemplate. Нода не могла собрать корректный блок-кандидат, поэтому не возвращала новую работу. При этом стандартный мониторинг показывал, что процесс запущен, пиринговые соединения открыты, кончик цепочки продвигается, а мемпул принимает новые транзакции. Майнинговое оборудование продолжало хешировать по последнему полученному шаблону, и новые транзакции вместе с комиссиями не были бы учтены до обнаружения проблемы оператором.
Уязвимость обнаружил Никлас Гёгге, сообщив о ней 26 сентября 2025 года. Исправление Грега Сандерса в PR #33504 было внесено в мастер-ветку 2 октября. Версия Bitcoin Core 30.0 с фиксом вышла 10 октября 2025 года, а бэкпорты — 29.2 (14 октября) и 28.3 (17 октября). Перезапуск ноды очищал состояние и временно убирал симптом, однако не защищал от повторного сбоя при схожей структуре транзакций в следующей реорганизации — требовалось обновление.
Детальное уведомление опубликовано 11 ноября 2026 года, через 396 дней после первого исправленного релиза и через две недели после окончания поддержки ветки 29.x, наступившего 27 октября 2026 года. Это соответствует стандартной политике раскрытия Bitcoin Core: детали уязвимостей средней и высокой степени опасности публикуются после того, как последняя затронутая версия перестаёт поддерживаться. Одновременно вышли ещё два уведомления — о блокировке обработки блоков и ошибке прав доступа Tor; все три проблемы были устранены в том же октябрьском цикле 2025 года. Конкретные инциденты или пострадавшие операторы не называются.
Практический вывод для майнинговых операций — следить не только за тем, что нода запущена, но и за временем последнего успешного шаблона, версией сборки и независимостью резервных источников. Два процесса на одной версии с одинаковой политикой мемпула не являются независимым резервом: они могли бы остановиться одновременно.
