Речь о CVE-2025-62860 средней опасности. Bitcoin Core определяет адрес входящего Tor-пира по IP-адресу демона Tor, который обычно работает на той же машине или в локальной сети. Параметр -whitelist снимает с доверенных пиров защиту от некоторых DoS-атак и утечек приватности. Если указанный в нём диапазон совпадал с адресом Tor-прокси, узел автоматически считал доверенными все входящие Tor-соединения.
По описанию Bitcoin Core, проблема затрагивала популярные сборки с Tor и клиентские программы, которым требовался параметр -whitelist. Так работали тысячи доступных узлов основной сети. Узлы без нестандартного значения этого параметра не пострадали. Ошибку обнаружили Мартин Зумзанде и Антуан Пуансо. Исправления вошли в версии 28.3, 29.2 и 30.0.
Другая уязвимость средней опасности, CVE-2025-62859, позволяла задерживать обработку блоков. Злоумышленник мог отправить некорректный компакт-блок, после чего узел повторно запрашивал блок у того же пира и ждал до 10 минут. Задержку можно было повторять бесконечно, если атакующий контролировал трёх пиров с высоким приоритетом или узел работал в режиме -blocksonly, сообщает проект. Исправления выпустили в версиях 29.2 и 30.0.
Третью уязвимость, CVE-2025-62861, Bitcoin Core отнёс к высокой степени опасности. При реорганизации цепочки ошибка в правилах для транзакций версии 3 (TRUC) могла оставить в мемпуле транзакции, которые расходуют уже несуществующие выходы. Из-за этого узел не мог собрать действительный шаблон блока до перезапуска. Ранее мы рассказывали, что это операционный риск для майнеров, а не угроза консенсусу сети.
Bitcoin Core публикует подробности уязвимостей средней и высокой опасности через две недели после завершения поддержки последнего затронутого релиза. Ветка 29.x перестала поддерживаться 27 октября 2026 года; детали уязвимостей обнародовали 10 ноября. Правило закреплено в политике раскрытия уязвимостей проекта.
