Bitcoin Core : des failles menaçaient des milliers de nœuds du réseau

Toutes les actualités

À la une

Sélection de la rédaction

Actions

Cryptomonnaies

Économie

Devises

Matières premières

Business & Wealth

Voix du marché

Eugene Komchuk

11.11.2026

Bitcoin Core : des failles menaçaient des milliers de nœuds du réseau — Des vulnérabilités découvertes dans Bitcoin Core

Les développeurs de Bitcoin Core ont révélé des détails sur trois vulnérabilités susceptibles de perturber des milliers de nœuds du réseau Bitcoin. L’une permettait à des attaquants de contourner les protections de sécurité via Tor, tandis qu’une autre pouvait pratiquement paralyser le minage.

Cet article a été traduit de l'original. Lisez la version originale de notre correspondant ici.

Selon le site web du projet, les trois problèmes avaient été corrigés dès octobre 2025, mais les avis de sécurité officiels n’ont été publiés que le mardi 10 novembre 2026. Les développeurs ont attribué ce délai à la politique de divulgation des vulnérabilités du projet.

La première vulnérabilité concernait le mécanisme de connexions de confiance de Bitcoin Core. Le logiciel permet aux opérateurs de nœuds de créer des listes blanches d’ordinateurs soumis à des limites de transmission de données moins strictes.

Le problème survenait lors de l’utilisation de Tor, une technologie qui masque les véritables adresses IP des utilisateurs. Dans certaines configurations, Bitcoin Core traitait les connexions externes passant par Tor comme des connexions locales. Si l’adresse du service Tor local figurait sur la liste blanche, les utilisateurs externes obtenaient automatiquement des privilèges élevés.

Les attaquants pouvaient ainsi contourner les protections contre le spam et les abus. Selon l’avis publié, le problème touchait des milliers de nœuds accessibles publiquement sur le réseau principal de Bitcoin.

Les développeurs Martin Zumsande et Antoine Poinsot ont découvert la vulnérabilité en septembre 2025. Elle a été classée comme étant de gravité moyenne. Les nœuds dont les opérateurs n’avaient pas activé la liste blanche n’étaient pas concernés.

Un bug aurait pu empêcher la création de nouveaux blocs

La deuxième vulnérabilité a été classée comme étant de gravité élevée, car elle touchait les nœuds de minage.

Le bug survenait lors des réorganisations de la blockchain, lorsque le réseau abandonne une version de la chaîne au profit d’une autre. Dans ces cas, les transactions issues des blocs écartés peuvent retourner dans le mempool, une file d’attente de transactions en attente de confirmation.

Cependant, une règle introduite dans Bitcoin Core 28,0 pouvait, dans certaines circonstances, supprimer l’une de ces transactions restaurées tout en laissant les transactions associées. Un nœud de minage pouvait alors tenter de construire un bloc contenant des transactions dont les entrées étaient manquantes.

Le système de validation rejetait ces blocs comme invalides. Un nœud touché perdait la capacité de générer des modèles de blocs valides jusqu’au redémarrage du logiciel.

Le développeur Niklas Goegge a signalé le problème le 26 septembre 2025. Toutefois, l’avis officiel ne fait état d’aucun cas connu d’exploitation de la vulnérabilité par des attaquants.

Le troisième bug, classé comme étant de gravité moyenne, permettait à une connexion malveillante de retarder de dix minutes le traitement de nouveaux blocs. Si un attaquant contrôlait les trois connexions utilisées pour la propagation rapide des blocs, il pouvait répéter l’attaque indéfiniment.

Pourquoi les développeurs ont attendu un an avant de révéler les vulnérabilités

Bitcoin Core applique une politique de divulgation différée des vulnérabilités. Les détails des problèmes de gravité moyenne ou élevée sont généralement publiés deux semaines après la fin de la période de prise en charge de la dernière version logicielle concernée.

Cette approche donne aux opérateurs de nœuds davantage de temps pour installer les mises à jour et réduit le risque d’exploitation des vulnérabilités connues.

La prise en charge de la dernière série de versions vulnérables, Bitcoin Core 29.x, a pris fin le 27 octobre 2026. Cela explique pourquoi les informations détaillées sur les problèmes n’ont été publiées que le 10 novembre.

Cependant, le code corrigeant la vulnérabilité liée à Tor était accessible au public sur GitHub depuis septembre 2025. De plus, le titre de la modification correspondante précisait explicitement que les privilèges de liste blanche ne devaient pas s’appliquer aux connexions Tor entrantes.

En octobre, les développeurs de Bitcoin Core ont également révisé leurs règles de divulgation pour les vulnérabilités faciles à redécouvrir, notamment à l’aide de l’intelligence artificielle. Dans de tels cas, les correctifs et les avis de sécurité doivent désormais être publiés aussi rapidement que possible. Les trois vulnérabilités révélées en novembre ont toutefois suivi l’ancien calendrier de divulgation.

Pourquoi Bitcoin Core est si important

Bitcoin Core est la principale implémentation logicielle qui fait fonctionner le réseau Bitcoin. Elle permet aux utilisateurs d’exécuter des nœuds complets de la blockchain, de vérifier les transactions, de valider les nouveaux blocs et de relayer des informations aux autres participants du réseau. Le logiciel est open source et maintenu par une communauté indépendante de développeurs. Bitcoin dispose également d’autres clients, comme Bitcoin Knots et btcd, qui suivent les mêmes règles réseau.

Bitcoin Core reste néanmoins l’implémentation dominante. Selon Coin Dance, environ 90 % des nœuds du réseau accessibles au public l’utilisent. Cette concentration rend la sécurité du logiciel cruciale pour l’ensemble de l’écosystème. Un bug grave de Bitcoin Core pourrait potentiellement toucher des milliers de nœuds simultanément, perturber la propagation des transactions et des blocs et causer des problèmes aux mineurs. Bitcoin reste toutefois un réseau décentralisé : une défaillance d’un client ne met donc pas nécessairement toute la blockchain à l’arrêt.

Rappelons que l’équipe de Bitcoin Core avait déjà révélé des vulnérabilités détectées à l’aide de l’IA.

Ce matériel peut contenir des opinions de tiers, aucune des données et informations sur cette page web ne constitue un conseil en investissement selon notre Avertissement. Bien que nous respections une stricte Intégrité Éditoriale, ce post peut contenir des références à des produits de nos partenaires.

Cet article vous a plu ?