Die Whitelist sollte eigentlich eine Tür für die eigenen Leute sein – am Ende stand sie allen offen
Am 10. November machte Bitcoin Core drei Sicherheitslücken öffentlich. Am interessantesten ist CVE-2025-62860
Mittleres Risiko, betroffen sind Versionen vor 28.3, 29.2 und 30.0
Bei externen Verbindungen über Tor wird als IP-Adresse die Adresse der lokalen Tor-Software angezeigt
Fällt diese Adresse in einen der mit -whitelist festgelegten vertrauenswürdigen IP-Bereiche, behandelt Core Fremde wie eigene Leute auf der Whitelist
Sobald sie auf der Whitelist stehen, werden die DoS-Schutzbeschränkungen aufgehoben und zugleich die Maßnahmen zur Eindämmung von Datenschutzverletzungen deaktiviert
Warum waren Tausende Mainnet-Knoten betroffen?
Nicht, weil die Standardeinstellungen von Core problematisch wären: Knoten, bei denen kein benutzerdefiniertes -whitelist festgelegt war, waren nie betroffen
Vielmehr bündelten Anbieter Core mit Tor und stellten nebenbei -whitelist so ein, dass es zu den Tor-IP-Bereichen passte
Ein praktischer Standardwert öffnete die Tür für alle
Verloren gingen diesmal keine Coins, sondern Schutzmaßnahmen
Spam-Transaktionen können ungebremst eingespeist werden, der Datenschutz ist nicht mehr gewährleistet
Private Schlüssel wurden nicht gestohlen, die Angebotsregeln für $BTC haben sich nicht geändert und auch die Menge in deinem Besitz ist gleich geblieben
Geschwächt wurde das Immunsystem der Knoten
Am selben Tag wurden noch zwei weitere Lücken veröffentlicht: eine mit hohem, eine mit mittlerem Risiko
Alle drei Lücken wurden bereits im Oktober 2025 behoben, öffentlich gemacht wurden sie am 10. November dieses Jahres
Die Wartung der 29.x-Reihe endete am 27. Oktober, die Ankündigung dazu kam erst am 10. November
Wer noch 29.x nutzt, konnte sich, als er von der Lücke erfuhr, bereits keine Sicherheitsupdates mehr holen
Eine frühzeitige Offenlegung wäre eine Anleitung für Angreifer, eine späte lässt langjährige Nutzer schutzlos zurück – das ist das Dilemma der Offenlegungspolitik
Meine Einschätzung
Das eigentliche Problem liegt nicht im Code, sondern in der Integration: Eine einzige Standardkonfiguration eines Anbieters bestimmt das Sicherheitsniveau Tausender Knoten
Die Schwachstelle wird nur durch eine „nicht standardmäßige“ Konfiguration ausgelöst, normale Nutzer sind nicht direkt betroffen und es gibt auch keine Hinweise auf eine aktive Ausnutzung
Am wenigsten gelöst ist die Diskrepanz zwischen „Ich dachte, ich bin sicher“ und „Meine Konfiguration stammt von jemand anderem“
Wenn du solche Nachrichten liest, stell dir drei Fragen:
Geht es um Geld oder um Schutzmaßnahmen?
Ist eine nicht standardmäßige Konfiguration Voraussetzung, und habe ich selbst etwas geändert?
Wann erscheint die korrigierte Version, wann wird die Lücke öffentlich gemacht und wie lange ist die Lücke dazwischen?
Standardkonfigurationen, die andere dir vorgeben, solltest du immer selbst überprüfen
Wer hat deine Konfiguration erstellt – ein Anbieter, eine Anleitung oder du selbst?
Bitcoin Core hat die Lücke erst mehr als ein Jahr später öffentlich gemacht. Findest du das verantwortungsvoll oder zu langsam?
#比特币Core披露Tor流量漏洞
Am 10. November machte Bitcoin Core drei Sicherheitslücken öffentlich. Am interessantesten ist CVE-2025-62860
Mittleres Risiko, betroffen sind Versionen vor 28.3, 29.2 und 30.0
Bei externen Verbindungen über Tor wird als IP-Adresse die Adresse der lokalen Tor-Software angezeigt
Fällt diese Adresse in einen der mit -whitelist festgelegten vertrauenswürdigen IP-Bereiche, behandelt Core Fremde wie eigene Leute auf der Whitelist
Sobald sie auf der Whitelist stehen, werden die DoS-Schutzbeschränkungen aufgehoben und zugleich die Maßnahmen zur Eindämmung von Datenschutzverletzungen deaktiviert
Warum waren Tausende Mainnet-Knoten betroffen?
Nicht, weil die Standardeinstellungen von Core problematisch wären: Knoten, bei denen kein benutzerdefiniertes -whitelist festgelegt war, waren nie betroffen
Vielmehr bündelten Anbieter Core mit Tor und stellten nebenbei -whitelist so ein, dass es zu den Tor-IP-Bereichen passte
Ein praktischer Standardwert öffnete die Tür für alle
Verloren gingen diesmal keine Coins, sondern Schutzmaßnahmen
Spam-Transaktionen können ungebremst eingespeist werden, der Datenschutz ist nicht mehr gewährleistet
Private Schlüssel wurden nicht gestohlen, die Angebotsregeln für $BTC haben sich nicht geändert und auch die Menge in deinem Besitz ist gleich geblieben
Geschwächt wurde das Immunsystem der Knoten
Am selben Tag wurden noch zwei weitere Lücken veröffentlicht: eine mit hohem, eine mit mittlerem Risiko
Alle drei Lücken wurden bereits im Oktober 2025 behoben, öffentlich gemacht wurden sie am 10. November dieses Jahres
Die Wartung der 29.x-Reihe endete am 27. Oktober, die Ankündigung dazu kam erst am 10. November
Wer noch 29.x nutzt, konnte sich, als er von der Lücke erfuhr, bereits keine Sicherheitsupdates mehr holen
Eine frühzeitige Offenlegung wäre eine Anleitung für Angreifer, eine späte lässt langjährige Nutzer schutzlos zurück – das ist das Dilemma der Offenlegungspolitik
Meine Einschätzung
Das eigentliche Problem liegt nicht im Code, sondern in der Integration: Eine einzige Standardkonfiguration eines Anbieters bestimmt das Sicherheitsniveau Tausender Knoten
Die Schwachstelle wird nur durch eine „nicht standardmäßige“ Konfiguration ausgelöst, normale Nutzer sind nicht direkt betroffen und es gibt auch keine Hinweise auf eine aktive Ausnutzung
Am wenigsten gelöst ist die Diskrepanz zwischen „Ich dachte, ich bin sicher“ und „Meine Konfiguration stammt von jemand anderem“
Wenn du solche Nachrichten liest, stell dir drei Fragen:
Geht es um Geld oder um Schutzmaßnahmen?
Ist eine nicht standardmäßige Konfiguration Voraussetzung, und habe ich selbst etwas geändert?
Wann erscheint die korrigierte Version, wann wird die Lücke öffentlich gemacht und wie lange ist die Lücke dazwischen?
Standardkonfigurationen, die andere dir vorgeben, solltest du immer selbst überprüfen
Wer hat deine Konfiguration erstellt – ein Anbieter, eine Anleitung oder du selbst?
Bitcoin Core hat die Lücke erst mehr als ein Jahr später öffentlich gemacht. Findest du das verantwortungsvoll oder zu langsam?
#比特币Core披露Tor流量漏洞