Разработчики Bitcoin Core обнародовали информацию о трёх ранее исправленных уязвимостях, одна из которых получила высокую степень серьёзности и могла помешать майнинговым нодам формировать корректные шаблоны блоков. Соответствующие рекомендации по безопасности были опубликованы 10 ноября.
Наиболее опасная проблема — CVE-2025-62861 — затрагивала версии Bitcoin Core с 28.0 по 28.2 и с 29.0 по 29.1. О ней сообщил исследователь Никлас Гёгге 26 сентября 2025 года. Уязвимость приводила к несогласованности мемпула: после реорганизации цепочки транзакция могла быть удалена без связанных с ней потомков. В результате поражённым нодам требовался перезапуск, прежде чем они снова могли создавать валидные шаблоны блоков, что создавало риски для непрерывной работы майнеров.
Вторая уязвимость — CVE-2025-62859 — была обнаружена Юджином Сигелом в апреле 2025 года. Злоумышленник мог использовать манипуляции с witness-данными в compact-блоках, чтобы задерживать обработку блока на срок до 10 минут. Атака могла повторяться неограниченно против нод в режиме -blocksonly или в ситуациях, когда атакующий контролировал всех трёх high-bandwidth-пиров.
Третья проблема — CVE-2025-62860 — касалась нод с нестандартной настройкой -whitelist. При определённых конфигурациях входящие Tor-соединения могли получать whitelist-права, если IP-адрес прокси попадал в разрешённый диапазон. По данным разработчиков, тысячи доступных нод в основной сети предоставляли такие права входящим Tor-подключениям, что снижало защиту от DoS-атак и приватность. Ноды без включённого whitelist не пострадали.
Все три уязвимости были устранены в октябре 2025 года: исправления вошли в Bitcoin Core 30.0, выпущенный 10 октября, и в версию 29.2 от 14 октября. Проблема CVE-2025-62861 также была закрыта в релизе 28.3. Последний уязвимый выпуск достиг конца жизненного цикла 27 октября. Задержка раскрытия соответствовала политике безопасности Bitcoin Core, предусматривающей публикацию данных о средних и высоких по серьёзности уязвимостях не ранее чем через две недели после окончания поддержки последней затронутой версии.
