Bitcoin Core révèle trois vulnérabilités en une fois : votre version de nœud est-elle à jour ?
Pour commencer par la conclusion : selon les trois avis publiés le 10 novembre sur le site officiel de Bitcoin Core, ces problèmes concernent le pool de mémoire, la propagation des blocs et les autorisations de connexion des nœuds. Aucun ne touche aux clés privées ni à la falsification de transactions. Les correctifs ont été publiés dès octobre 2025 ; les détails ne sont rendus publics que maintenant.
Les trois vulnérabilités et leurs effets :
1. CVE-2025-62861 (gravité élevée) : lors d’une réorganisation de la chaîne, la règle de « remplacement de transaction sœur » des transactions TRUC (transactions v3) se déclenche à tort, laissant dans le pool de mémoire des transactions qui dépensent des sorties qui n’existent plus. Résultat : le nœud ne peut plus générer de modèle de bloc et ne fonctionne à nouveau qu’après un redémarrage. Versions concernées : 28.0–28.2 et 29.0–29.1. C’est le problème le plus grave pour les mineurs et les pools de minage.
2. CVE-2025-62860 (gravité moyenne) : les nœuds configurés avec -whitelist pour autoriser des plages d’adresses IP traitent également les connexions entrantes Tor comme des connexions sur liste blanche, ce qui neutralise certaines protections contre les attaques par déni de service et certaines mesures de protection de la vie privée. L’avis officiel indique que, certains bundles intégrés utilisant cette configuration par défaut, plusieurs milliers de nœuds accessibles sur le réseau principal sont concernés. Les nœuds sans configuration -whitelist n’ont jamais été concernés.
3. CVE-2025-62859 (gravité moyenne) : un nœud malveillant peut bloquer un nœud victime sur un délai d’expiration de 10 minutes en lui envoyant un bloc compact dont les données de témoin ont été falsifiées. L’attaque peut être répétée à l’infini si l’attaquant contrôle vos trois nœuds à haut débit ou si vous avez activé -blocksonly.
La chronologie mérite également d’être examinée : la plus ancienne des vulnérabilités (62859) a été signalée le 28 avril 2025, soit environ 18 mois avant sa divulgation publique. La raison : l’équipe officielle a attendu la fin de la maintenance de la dernière branche de versions concernée, 29.x, le 27 octobre 2026, avant de publier les détails.
Comment vérifier, en deux étapes :
1. Exécutez bitcoin-cli getnetworkinfo et vérifiez le champ subversion. La version 30.0 et les versions ultérieures corrigent les trois vulnérabilités ; la version 29.2 les corrige toutes les trois ; la version 28.3 corrige les deux premières (l’avis original de 62859 ne mentionne que les versions 29.2 et 30.0). La branche 29.x n’est plus maintenue depuis le 27 octobre ; le plus sûr est de passer à une branche qui bénéficie encore d’une maintenance.
2. Si vous utilisez un bundle de nœud avec interface graphique, vérifiez dans ses paramètres si une plage d’adresses IP est configurée avec -whitelist, et assurez-vous également que la version de Core intégrée au bundle est bien supérieure à la version mentionnée ci-dessus.
D’après les avis publiés, les personnes qui détiennent leurs bitcoins uniquement sur une plateforme d’échange ou dans un portefeuille mobile, sans exploiter leur propre nœud, n’ont aucune action à entreprendre à la suite de ces problèmes.
Cet article ne constitue pas un conseil en investissement.
#比特币 #安全 #BitcoinCore #节点 $BTC
Pour commencer par la conclusion : selon les trois avis publiés le 10 novembre sur le site officiel de Bitcoin Core, ces problèmes concernent le pool de mémoire, la propagation des blocs et les autorisations de connexion des nœuds. Aucun ne touche aux clés privées ni à la falsification de transactions. Les correctifs ont été publiés dès octobre 2025 ; les détails ne sont rendus publics que maintenant.
Les trois vulnérabilités et leurs effets :
1. CVE-2025-62861 (gravité élevée) : lors d’une réorganisation de la chaîne, la règle de « remplacement de transaction sœur » des transactions TRUC (transactions v3) se déclenche à tort, laissant dans le pool de mémoire des transactions qui dépensent des sorties qui n’existent plus. Résultat : le nœud ne peut plus générer de modèle de bloc et ne fonctionne à nouveau qu’après un redémarrage. Versions concernées : 28.0–28.2 et 29.0–29.1. C’est le problème le plus grave pour les mineurs et les pools de minage.
2. CVE-2025-62860 (gravité moyenne) : les nœuds configurés avec -whitelist pour autoriser des plages d’adresses IP traitent également les connexions entrantes Tor comme des connexions sur liste blanche, ce qui neutralise certaines protections contre les attaques par déni de service et certaines mesures de protection de la vie privée. L’avis officiel indique que, certains bundles intégrés utilisant cette configuration par défaut, plusieurs milliers de nœuds accessibles sur le réseau principal sont concernés. Les nœuds sans configuration -whitelist n’ont jamais été concernés.
3. CVE-2025-62859 (gravité moyenne) : un nœud malveillant peut bloquer un nœud victime sur un délai d’expiration de 10 minutes en lui envoyant un bloc compact dont les données de témoin ont été falsifiées. L’attaque peut être répétée à l’infini si l’attaquant contrôle vos trois nœuds à haut débit ou si vous avez activé -blocksonly.
La chronologie mérite également d’être examinée : la plus ancienne des vulnérabilités (62859) a été signalée le 28 avril 2025, soit environ 18 mois avant sa divulgation publique. La raison : l’équipe officielle a attendu la fin de la maintenance de la dernière branche de versions concernée, 29.x, le 27 octobre 2026, avant de publier les détails.
Comment vérifier, en deux étapes :
1. Exécutez bitcoin-cli getnetworkinfo et vérifiez le champ subversion. La version 30.0 et les versions ultérieures corrigent les trois vulnérabilités ; la version 29.2 les corrige toutes les trois ; la version 28.3 corrige les deux premières (l’avis original de 62859 ne mentionne que les versions 29.2 et 30.0). La branche 29.x n’est plus maintenue depuis le 27 octobre ; le plus sûr est de passer à une branche qui bénéficie encore d’une maintenance.
2. Si vous utilisez un bundle de nœud avec interface graphique, vérifiez dans ses paramètres si une plage d’adresses IP est configurée avec -whitelist, et assurez-vous également que la version de Core intégrée au bundle est bien supérieure à la version mentionnée ci-dessus.
D’après les avis publiés, les personnes qui détiennent leurs bitcoins uniquement sur une plateforme d’échange ou dans un portefeuille mobile, sans exploiter leur propre nœud, n’ont aucune action à entreprendre à la suite de ces problèmes.
Cet article ne constitue pas un conseil en investissement.
#比特币 #安全 #BitcoinCore #节点 $BTC
