Bitcoin Core meldt drie gepatchte beveiligingslekken, één hoog-risico

Wat er gebeurde

Op 10 november publiceerde het project security advisories over drie kwetsbaarheden in Bitcoin Core. De problemen troffen onderdelen van de software die veel nodes op het Bitcoin-netwerk draaien.

Het belangrijkste lek draagt de aanduiding CVE-2025-62861 en is als high severity gerapporteerd. Volgens de verklaring kon dit probleem na een blockchain reorganisatie leiden tot een inconsistente toestand in de mempool. Daardoor zouden miners mogelijk worden belemmerd bij het aanmaken van nieuwe blocks.

Dit hoge-risicolek raakte Bitcoin Core versies 28.0 tot 28.2 en 29.0 tot 29.1. Het was eerst gemeld op 26 september 2025 door onderzoeker Niklas Goegge.

De andere twee lekken werden als medium severity aangemerkt. CVE-2025-62859 kan kwaadwillenden in sommige situaties het verwerken van blocks vertragen door wijzigingen in transaction witness data. Onder bepaalde configuraties kon een node tot tien minuten wachten en de aanval herhaald worden. Deze kwetsbaarheid werd in april 2025 gevonden door Eugene Siegel.

Het derde probleem, CVE-2025-62860, betrof nodes die via het anonieme Tor-netwerk draaien. Daar bleek dat duizenden bereikbare mainnet-nodes permissies hadden voor inkomende Tor-verbindingen. Nodes zonder de optionele whitelist-configuratie waren niet kwetsbaar.

Alle drie de problemen waren al in oktober 2025 opgelost. De fixes werden opgenomen in Bitcoin Core 30.0, uitgebracht op 10 oktober, en in Bitcoin Core 29.2, uitgebracht op 14 oktober. Het high-severity lek werd daarnaast al gepatcht in Bitcoin Core 28.3.

De ontwikkelaars verklaarden dat de late openbaarmaking volgde uit het eigen securitybeleid. Dat beleid schrijft doorgaans voor om minstens twee weken te wachten na het einde van de levensduur van de laatst getroffen versie voordat details van medium- of high-severity kwetsbaarheden worden gepubliceerd.

Waarom dit telt

Voor beleggers in BTC is dit relevant omdat de kwetsbaarheden raakvlakken hadden met mining en netwerkstabiliteit. De fouten zijn echter al gepatcht en de ontwikkelaars hebben volgens hun beleid details later vrijgegeven.