Bitcoin Core repareert bug die duizenden nodes Tor-verbindingen vertrouwde

Wat er gebeurde

Op 10 november 2026 heeft Bitcoin Core drie beveiligingsadviezen gepubliceerd met de identifiers CVE-2025-62859, CVE-2025-62860 en CVE-2025-62861. Twee bugs worden als medium severity aangemerkt en één als high severity.

De ernstigste fout betrof de -whitelist instelling in combinatie met Tor. Als een operator een IP-bereik whiteliste, behandelde Bitcoin Core daardoor elke inkomende Tor-verbinding als een vertrouwde peer. Dit trof volgens de ontwikkelaars duizenden bereikbare nodes op mainnet. De fout zat in versies tot en met 28.3, 29.2 en 30.0 en is opgelost in Bitcoin Core 30.0 en in onderhoudsreleases 28.3 en 29.2.

De ontwikkelaars leggen uit dat het probleem ontstond omdat Tor-verbindingen bij het node alleen het adres van de Tor-service laten zien. Als dat adres binnen het toegestane IP-bereik viel, kregen alle Tor-bezoekers whitelist-rechten. Nodes zonder de -whitelist optie waren nooit getroffen.

De andere twee fouten betroffen compact blocks en TRUC-transacties. De compact-blocks bug kon ertoe leiden dat een node bij het ophalen van een nieuw block tien minuten wachtte en zo achterop raakte. De TRUC-bug had vooral impact op miners. Na een reorg konden sommige miners geen geldig block template maken totdat ze de node herstartten.

De bugs werden in 2025 ontdekt door verschillende ontwikkelaars. De fixes werden in oktober 2025 in versies 28.3, 29.2 en 30.0 opgenomen, maar de openbare advisering volgde pas nadat de laatste getroffen release serie geen onderhoud meer kreeg op 27 oktober 2026. Als u een node draait en uw versie is ouder dan 30.0, wordt geadviseerd te updaten omdat 29.x op 27 oktober 2026 end of maintenance bereikte.

Waarom dit telt

Voor houders van Bitcoin en voor gebruikers van eigen nodes is dit belangrijk omdat de fouten invloed hadden op privacy, netwerkgedrag en het vermogen van miners om blocks te maken. Een up-to-date node voorkomt deze problemen.