A Bitcoin-kliens sebezhetőségei több ezer hálózati csomópontot veszélyeztettek
A Bitcoin Core fejlesztői nyilvánosságra hozták három olyan sebezhetőség részleteit, amelyek több ezer, a Bitcoin-hálózathoz csatlakozó csomópont működését zavarhatták volna meg. Az egyik lehetővé tette, hogy a támadók a Toron keresztül megkerüljék a biztonsági védelmet, egy másik pedig gyakorlatilag megbéníthatta a bányászati műveleteket.
Ezt a cikket az eredetiből fordítottuk. Olvassa el tudósítónk eredeti változatát itt.
A projekt weboldala szerint mindhárom hibát már 2025 októberében kijavították, a hivatalos biztonsági közleményeket azonban csak 2026. november 10-én, kedden tették közzé. A fejlesztők a késlekedést a projekt sebezhetőségek közzétételére vonatkozó irányelveivel indokolták.
Az első sebezhetőség a Bitcoin Core megbízható kapcsolatok kezeléséhez kapcsolódott. A szoftver lehetővé teszi a csomópontok üzemeltetőinek, hogy úgynevezett engedélyezőlistákat hozzanak létre azokról a számítógépekről, amelyekre kevésbé szigorú adatforgalmi korlátozások vonatkoznak.
A probléma a felhasználók valódi IP-címét elrejtő Tor használatakor merült fel. Bizonyos beállítások mellett a Bitcoin Core a Toron keresztül érkező külső kapcsolatokat helyi kapcsolatként kezelte. Ha a helyi Tor-szolgáltatás címe szerepelt az engedélyezőlistán, a külső felhasználók automatikusan emelt jogosultságokat kaptak.
Ennek eredményeként a támadók megkerülhették a spam és a visszaélések elleni védelmet. A közzétett biztonsági közlemény szerint a probléma a Bitcoin főhálózatán több ezer, nyilvánosan elérhető csomópontot érintett.
A sebezhetőséget Martin Zumsande és Antoine Poinsot fejlesztők fedezték fel 2025 szeptemberében. Közepes súlyosságúnak minősítették. Azok a csomópontok, amelyek üzemeltetői nem engedélyezték az engedélyezőlisták használatát, nem voltak érintettek.
Egy hiba megakadályozhatta új blokkok létrehozását
A második sebezhetőséget magas súlyosságúnak minősítették, mivel a bányászati csomópontokat érintette.
A hiba a blokklánc átszervezésekor jelentkezett, amikor a hálózat az egyik láncváltozatot egy másikra cseréli. Ilyenkor az elvetett blokkokban szereplő tranzakciók visszakerülhetnek a megerősítésre váró tranzakciók sorába, azaz a mempoolba.
A Bitcoin Core 28,0-ban bevezetett szabály azonban bizonyos körülmények között eltávolíthatta az egyik visszaállított tranzakciót, miközben a hozzá kapcsolódó tranzakciókat a sorban hagyta. Emiatt egy bányászati csomópont olyan blokkot próbálhatott létrehozni, amely hiányzó bemenetű tranzakciókat tartalmazott.
Az érvényesítési rendszer érvénytelenként utasította volna el az ilyen blokkokat. Az érintett csomópont a szoftver újraindításáig nem tudott volna érvényes blokksablonokat létrehozni.
Niklas Goegge fejlesztő 2025. szeptember 26-án jelezte a problémát. A hivatalos biztonsági közlemény ugyanakkor nem említ olyan ismert esetet, amikor támadók kihasználták volna a sebezhetőséget.
A harmadik, közepes súlyosságúra értékelt hiba lehetővé tette, hogy egy rosszindulatú kapcsolat tíz perccel késleltesse az új blokkok feldolgozását. Ha egy támadó mindhárom, gyors blokkterjesztésre használt kapcsolatot ellenőrzése alatt tartotta, a támadást korlátlan ideig megismételhette.
Miért vártak a fejlesztők egy évet a sebezhetőségek közzétételével?
A Bitcoin Core késleltetett sebezhetőség-közzétételi irányelvet követ. A közepes és magas súlyosságú hibák részleteit jellemzően két héttel azután hozzák nyilvánosságra, hogy az utolsó érintett szoftververzió támogatása megszűnik.
Ez a megközelítés több időt biztosít a csomópontok üzemeltetőinek a frissítések telepítésére, és csökkenti az ismert sebezhetőségek kihasználásának kockázatát.
Az utolsó sérülékeny verziócsalád, a Bitcoin Core 29.x támogatása 2026. október 27-én szűnt meg. Ez magyarázza, hogy a hibákról szóló részletes tájékoztatás miért csak november 10-én jelent meg.
A Tor-sebezhetőséget javító kód azonban már 2025 szeptembere óta nyilvánosan elérhető volt a GitHubon. Ráadásul a kapcsolódó módosítás címe egyértelműen kimondta, hogy az engedélyezőlistán szereplő jogosultságok nem vonatkozhatnak a bejövő Tor-kapcsolatokra.
Októberben a Bitcoin Core fejlesztői a könnyen, akár mesterséges intelligencia segítségével is újra felfedezhető sebezhetőségekre vonatkozó közzétételi szabályokat is módosították. Ilyen esetekben a javításokat és a biztonsági közleményeket mostantól a lehető leghamarabb közzé kell tenni. A novemberben ismertetett három sebezhetőségre azonban még a korábbi közzétételi ütemezés vonatkozott.
Miért olyan fontos a Bitcoin Core?
A Bitcoin Core a Bitcoin-hálózatot működtető elsődleges szoftveres implementáció. Lehetővé teszi a felhasználóknak, hogy teljes blokklánc-csomópontokat futtassanak, ellenőrizzék a tranzakciókat, érvényesítsék az új blokkokat, és továbbítsák az információkat a hálózat többi résztvevőjének. A szoftver nyílt forráskódú, és független fejlesztői közösség tartja karban. A Bitcoinnak más kliensei is vannak, például a Bitcoin Knots és a btcd, amelyek ugyanazokat a hálózati szabályokat követik.
A Bitcoin Core ennek ellenére továbbra is a domináns implementáció. A Coin Dance adatai szerint a nyilvánosan elérhető hálózati csomópontok mintegy 90%-a ezt használja. Ez a koncentráció kritikus fontosságúvá teszi a szoftver biztonságát az egész ökoszisztéma számára. Egy súlyos Bitcoin Core-hiba egyszerre több ezer csomópontot érinthet, megzavarhatja a tranzakciók és blokkok terjedését, valamint problémákat okozhat a bányászoknak. A Bitcoin azonban decentralizált hálózat, így egyetlen kliens meghibásodása nem feltétlenül állítja le a teljes blokkláncot.
Emlékeztetőül: a Bitcoin Core csapata korábban mesterséges intelligencia segítségével azonosított sebezhetőségeket hozott nyilvánosságra.
-
Afganisztán
-
Albánia
-
Algéria
-
Angola
-
Argentína
-
Ausztria
-
Ausztrália
-
Azerbajdzsán
-
Bahama-szigetek
-
Bahrein
-
Banglades
-
Belgium
-
Bolívia
-
Botswana
-
Brazília
-
Brunei Darussalam
-
Bulgária
-
Chile
-
Ciprus
-
Costa Rica
-
Csehország
-
Dominikai Köztársaság
-
Dánia
-
Dél-Afrika
-
Ecuador
-
Egyesült Arab Emírségek
-
Egyesült Királyság
-
Egyiptom
-
El Salvador
-
Elefántcsontpart
-
Eswatini
-
Etiópia
-
Fehéroroszország
-
Finnország
-
Franciaország
-
Fülöp-szigetek
-
Ghána
-
Grúzia
-
Görögország
-
Haiti
-
Hollandia
-
Hongkong
-
Horvátország
-
India
-
Indonézia
-
Irak
-
Irán, Iszlám Köztársaság
-
Izrael
-
Jamaica
-
Japán
-
Jemen
-
Jordánia
-
Kambodzsa
-
Kamerun
-
Kanada
-
Katar
-
Kazahsztán
-
Kenya
-
Kirgizisztán
-
Kolumbia
-
Kongó
-
Kongó D. K.
-
Korea
-
Kuba
-
Kuvait
-
Kína
-
Laosz
-
Lengyelország
-
Lesotho
-
Lettország
-
Libanon
-
Litvánia
-
Luxemburg
-
Líbia
-
Madagaszkár
-
Magyarország
-
Malajzia
-
Marokkó
-
Mauritius
-
Mexikó
-
Mianmar
-
Moldova
-
Mongólia
-
Montenegró
-
Mozambik
-
Málta
-
Namíbia
-
Nepál
-
Nigéria
-
Norvégia
-
Németország
-
Olaszország
-
Omán
-
Pakisztán
-
Palesztina
-
Panama
-
Paraguay
-
Peru
-
Portugália
-
Puerto Rico
-
Pápua Új-Guinea
-
Reunion
-
Románia
-
Ruanda
-
Spanyolország
-
Sri Lanka
-
Svájc
-
Svédország
-
Szaúd-Arábia
-
Szerbia
-
Szingapúr
-
Szlovákia
-
Szlovénia
-
Szomália
-
Szíria
-
Tajvan, Kína tartomány
-
Tanzánia
-
Thaiföld
-
Trinidad és Tobago
-
Tunézia
-
Tádzsikisztán
-
Törökország
-
USA
-
Uganda
-
Ukrajna
-
Uruguay
-
Venezuela
-
Vietnam
-
Zambia
-
Zimbabwe
-
Észak-Macedónia
-
Észtország
-
Írország
-
Örményország
-
Új-Zéland
-
Üzbegisztán
- Forex
- Crypto
