القائمة البيضاء كانت بابًا مفتوحًا لأصحابك، لكنها انتهت بابًا مفتوحًا للجميع
في 10 نوفمبر، أفصح Bitcoin Core عن ثلاث ثغرات. وأكثرها أهمية هي CVE-2025-62860
متوسطة الخطورة، وتؤثر في الإصدارات السابقة لـ 28.3 و29.2 و30.0
الاتصالات الخارجية التي تمر عبر Tor يظهر عنوان IP الخاص بها على أنه عنوان برنامج Tor المحلي
إذا وقع هذا العنوان ضمن نطاق عناوين IP الموثوقة المحدد في -whitelist، يتعامل Core مع الغرباء كما لو كانوا من أصحابك المدرجين في القائمة البيضاء
وبمجرد إدراجهم فيها، تُرفع قيود الحماية من هجمات حجب الخدمة، وتُعطَّل أيضًا تدابير الحد من تسرب الخصوصية
لماذا طالت المشكلة آلاف العقد على الشبكة الرئيسية؟
لم تكن المشكلة في الإعدادات الافتراضية لـ Core؛ فالعقد التي لم تضبط -whitelist على قيمة غير افتراضية لم تتأثر قط
بل إن مورّدًا جمع Core وTor في حزمة واحدة، وضبط -whitelist تلقائيًا على نطاق عناوين يطابق Tor
قيمة افتراضية اختيرت لتسهيل الاستخدام، ففتحت الباب أمام الجميع
ما فُقد هذه المرة ليس العملات، بل الحماية
يمكن ضخ معاملات غير مرغوب فيها بلا أي قيود على المعدل، وتتعطل حماية الخصوصية
لم تُسرق المفاتيح الخاصة، ولم تتغير قواعد إصدار $BTC ، كما لم يتغير مقدار ما تملكه
الذي تضرر هو نظام المناعة لدى العقدة
وفي اليوم نفسه، أُفصح عن ثغرتين أخريين: إحداهما عالية الخطورة والأخرى متوسطة
أُصلحت الثغرات الثلاث في أكتوبر 2025، لكن لم يُكشف عنها علنًا إلا في 10 نوفمبر من هذا العام
توقف دعم سلسلة 29.x في 27 أكتوبر، لكن الإعلان لم يصدر إلا في 10 نوفمبر
أما من لا يزال يستخدم 29.x، فحين علم بوجود ثغرة، لم يعد بإمكانه الحصول على تحديث أمني
الإفصاح المبكر أشبه بتسليم المهاجمين كتيب تعليمات، والمتأخر يترك المستخدمين القدامى مكشوفين؛ وهذه هي المعضلة المستعصية لسياسة الإفصاح
تقييمي
المشكلة الحقيقية ليست في الشيفرة، بل في التكامل: إعداد افتراضي واحد لدى المورّد يحدد مستوى الأمان لآلاف العقد
شرط الاستغلال هو «إعداد غير افتراضي»، لذا لا يتأثر المستخدم العادي مباشرة، كما لم ترصد الجهة الرسمية أي استغلال نشط
أما ما لم يُعالج حقًا، فهو الفجوة بين «ظننت أنني بأمان» و«إعداداتي مصدرها شخص آخر»
عند قراءة أخبار كهذه، اطرح ثلاثة أسئلة
هل ما تأثر هو الأموال أم وسائل الحماية؟
هل يتطلب الاستغلال إعدادًا غير افتراضي، وهل غيّرتُ الإعدادات بنفسي؟
متى صدر الإصدار المُصلح، ومتى أُعلن عن الثغرة، وكم طال الفاصل بينهما؟
لا بد أن تراجع بنفسك أي إعداد افتراضي يقدمه لك الآخرون
من كتب إعداداتك؟ المورّد، أم دليل إرشادي، أم أنت بنفسك؟
لماذا لم يفصح Bitcoin Core عن ذلك إلا بعد أكثر من عام؟ هل ترى أن هذا تصرف مسؤول أم أنه تأخر كثيرًا؟
#比特币Core披露Tor流量漏洞
في 10 نوفمبر، أفصح Bitcoin Core عن ثلاث ثغرات. وأكثرها أهمية هي CVE-2025-62860
متوسطة الخطورة، وتؤثر في الإصدارات السابقة لـ 28.3 و29.2 و30.0
الاتصالات الخارجية التي تمر عبر Tor يظهر عنوان IP الخاص بها على أنه عنوان برنامج Tor المحلي
إذا وقع هذا العنوان ضمن نطاق عناوين IP الموثوقة المحدد في -whitelist، يتعامل Core مع الغرباء كما لو كانوا من أصحابك المدرجين في القائمة البيضاء
وبمجرد إدراجهم فيها، تُرفع قيود الحماية من هجمات حجب الخدمة، وتُعطَّل أيضًا تدابير الحد من تسرب الخصوصية
لماذا طالت المشكلة آلاف العقد على الشبكة الرئيسية؟
لم تكن المشكلة في الإعدادات الافتراضية لـ Core؛ فالعقد التي لم تضبط -whitelist على قيمة غير افتراضية لم تتأثر قط
بل إن مورّدًا جمع Core وTor في حزمة واحدة، وضبط -whitelist تلقائيًا على نطاق عناوين يطابق Tor
قيمة افتراضية اختيرت لتسهيل الاستخدام، ففتحت الباب أمام الجميع
ما فُقد هذه المرة ليس العملات، بل الحماية
يمكن ضخ معاملات غير مرغوب فيها بلا أي قيود على المعدل، وتتعطل حماية الخصوصية
لم تُسرق المفاتيح الخاصة، ولم تتغير قواعد إصدار $BTC ، كما لم يتغير مقدار ما تملكه
الذي تضرر هو نظام المناعة لدى العقدة
وفي اليوم نفسه، أُفصح عن ثغرتين أخريين: إحداهما عالية الخطورة والأخرى متوسطة
أُصلحت الثغرات الثلاث في أكتوبر 2025، لكن لم يُكشف عنها علنًا إلا في 10 نوفمبر من هذا العام
توقف دعم سلسلة 29.x في 27 أكتوبر، لكن الإعلان لم يصدر إلا في 10 نوفمبر
أما من لا يزال يستخدم 29.x، فحين علم بوجود ثغرة، لم يعد بإمكانه الحصول على تحديث أمني
الإفصاح المبكر أشبه بتسليم المهاجمين كتيب تعليمات، والمتأخر يترك المستخدمين القدامى مكشوفين؛ وهذه هي المعضلة المستعصية لسياسة الإفصاح
تقييمي
المشكلة الحقيقية ليست في الشيفرة، بل في التكامل: إعداد افتراضي واحد لدى المورّد يحدد مستوى الأمان لآلاف العقد
شرط الاستغلال هو «إعداد غير افتراضي»، لذا لا يتأثر المستخدم العادي مباشرة، كما لم ترصد الجهة الرسمية أي استغلال نشط
أما ما لم يُعالج حقًا، فهو الفجوة بين «ظننت أنني بأمان» و«إعداداتي مصدرها شخص آخر»
عند قراءة أخبار كهذه، اطرح ثلاثة أسئلة
هل ما تأثر هو الأموال أم وسائل الحماية؟
هل يتطلب الاستغلال إعدادًا غير افتراضي، وهل غيّرتُ الإعدادات بنفسي؟
متى صدر الإصدار المُصلح، ومتى أُعلن عن الثغرة، وكم طال الفاصل بينهما؟
لا بد أن تراجع بنفسك أي إعداد افتراضي يقدمه لك الآخرون
من كتب إعداداتك؟ المورّد، أم دليل إرشادي، أم أنت بنفسك؟
لماذا لم يفصح Bitcoin Core عن ذلك إلا بعد أكثر من عام؟ هل ترى أن هذا تصرف مسؤول أم أنه تأخر كثيرًا؟
#比特币Core披露Tor流量漏洞