Bitcoin Core repareert drie beveiligingslekken, waaronder mining-bug

Wat er gebeurde

De ontwikkelaars publiceerden op 10 november beveiligingsadviezen over drie kwetsbaarheden in Bitcoin Core. Het meest ernstige probleem kreeg CVE-2025-62861 en kon voorkomen dat miners nieuwe blocks maken.

Dat hoog-risico lek kon een inconsistentie in de mempool veroorzaken na een blockchain-reorganisatie. Hierdoor konden eerder geaccepteerde blocks door de netwerkvoorkeur worden vervangen, wat de miningprocedure rechtstreeks bedreigde.

CVE-2025-62861 trof de Bitcoin Core-versies 28.0 tot 28.2 en 29.0 tot 29.1. Onderzoeker Niklas Goegge meldde het probleem op 26 september 2025. De fout was echter al verholpen in een eerdere release, en de patch zat in versie 28.3.

De twee medium-severity kwetsbaarheden waren CVE-2025-62859 en CVE-2025-62860. CVE-2025-62859 kon kwaadwillenden gebruiken om blockverwerking te vertragen door manipulatie van witness-gegevens. Onder bepaalde omstandigheden kon een node daardoor tot tien minuten wachten en de aanval kon herhaalbaar zijn voor specifieke configuraties. Dit probleem werd ontdekt door Eugene Siegel in april 2025.

CVE-2025-62860 betrof nodes die via het anonieme Tor-netwerk bereikbaar zijn. Ontwikkelaars meldden dat duizenden mainnet-nodes permissies gaven voor inkomende Tor-verbindingen. Het probleem trof niet de nodes die geen optionele whitelist-configuratie gebruikten.

Alle drie de problemen werden in oktober 2025 verholpen. De fixes zaten in Bitcoin Core 30.0, uitgebracht op 10 oktober, en in Bitcoin Core 29.2, uitgebracht op 14 oktober. Het hoog-risico mininglek was ook gepatcht in versie 28.3.

De vertraagde openbaarmaking van de details volgde de beveiligingspolicy van Bitcoin Core. Die policy schrijft meestal voor om minstens twee weken te wachten na het einde van de levensduur van de laatst getroffen softwareversie voordat medium- of hoog-risico kwetsbaarheden publiek worden gemaakt.

Waarom dit telt

Voor beleggers in Bitcoin of bedrijven die nodes draaien is het nieuws belangrijk omdat de bugs mining en blockverwerking konden beïnvloeden. De fixes zijn al beschikbaar, maar het herinnert aan operationele risico's rond node- en miningsoftware.