Bitcoin Core виявив помилку, яка дозволяла тисячам вузлів довіряти будь-якому незнайомцю у Tor

Зловмисники, які підключалися через Tor, могли обійти захист від спаму та конфіденційності на тисячах біткойн-вузлів, оскільки програмне забезпечення вважало їх довіреними комп’ютерами.

Біткойн Core опублікував офіційне повідомлення про безпеку у вівторок, приблизно через 13 місяців після випуску виправлення.

Зміни в коді були доступні на GitHub з вересня 2025 року під назвою, яка прямо вказувала, що налаштування білої таблиці не повинні застосовуватися до вхідних Tor-з'єднань.

Ця вразливість була однією з трьох, про які повідомили розробники, і всі вони були виправлені в оновленнях, виданих у жовтні минулого року. Випадок виник, коли постачальники об'єднали Bitcoin Core з Tor, службою, яка приховує інтернет-адреси.

Вхідні Tor-з'єднання виглядали, як такі, що походять із локального програмного забезпечення Tor.

Якщо адреса цього програмного забезпечення потрапляла в довірений діапазон, зовнішні відвідувачі також отримували відповідні дозволи.

Це призвело до того, що тисячі підключених основних вузлів почали довіряти всім вхідним Tor-з'єднанням. Додатково, вразливість високого ступеня серйозності стосувалася способу, яким вузол обробляє конкуруючі версії блокчейну.

Коли мережа відмовляється від однієї версії, транзакції з відкинутими блоками можуть повернутися до списку непогашених платежів.

Впроваджене правило могло призвести до видалення відновлених транзакцій, що, в свою чергу, ускладнювало створення дійсних шаблонів блоків. Третя вразливість, яку оцінили як середню, дозволяла зловмисному з'єднанню блокувати обробку нових блоків вузлом протягом 10 хвилин.

Зловмисник, який контролював три з'єднання, обрані для швидкої передачі блоків, міг повторювати це блокування безкінечно.

Повідомлення не містить даних про які-небудь атаки.