La liste blanche était censée ouvrir la porte aux personnes de confiance, mais elle a fini par l’ouvrir à tout le monde
Le 10 novembre, Bitcoin Core a révélé trois vulnérabilités. La plus importante est CVE-2025-62860
De gravité moyenne, elle affecte les versions antérieures à 28.3, 29.2 et 30.0
Pour les connexions externes passant par Tor, l’adresse IP affichée est celle du logiciel Tor local
Si cette adresse se trouve dans la plage d’adresses IP de confiance définie par -whitelist, Core traite les inconnus comme des personnes de confiance figurant sur la liste blanche
Une fois sur la liste blanche, les limites de protection contre les attaques DoS sont levées, et les mesures d’atténuation des fuites de confidentialité sont également désactivées
Pourquoi des milliers de nœuds du réseau principal ont-ils été touchés ?
Le problème ne venait pas des paramètres par défaut de Core : les nœuds n’ayant pas configuré de -whitelist non standard n’ont jamais été touchés
Ce sont des fournisseurs qui ont regroupé Core et Tor, puis ont aussi configuré -whitelist pour qu’elle corresponde à la plage d’adresses de Tor
Une valeur par défaut choisie par commodité a ouvert la porte à tout le monde
Ce qui a été perdu cette fois, ce ne sont pas des bitcoins, mais une protection
Les transactions indésirables peuvent affluer sans limitation de débit, et la protection de la vie privée ne fonctionne plus
Les clés privées n’ont pas été volées, la règle d’émission de $BTC n’a pas changé, et le montant que vous détenez non plus
C’est le système immunitaire des nœuds qui a été affaibli
Deux autres vulnérabilités ont aussi été révélées le même jour : une de gravité élevée et une de gravité moyenne
Les trois vulnérabilités ont été corrigées en octobre 2025, mais leur divulgation publique n’a eu lieu que le 10 novembre de cette année
La maintenance de la série 29.x a pris fin le 27 octobre, mais l’annonce n’a été publiée que le 10 novembre
Ceux qui utilisent encore la série 29.x n’avaient déjà plus accès à des mises à jour de sécurité lorsqu’ils ont appris l’existence de la vulnérabilité
La révéler trop tôt revient à fournir un mode d’emploi aux attaquants ; la révéler trop tard, c’est laisser les anciens utilisateurs sans défense. Voilà le dilemme insoluble de la politique de divulgation
Mon avis
Le véritable problème ne vient pas du code, mais de l’intégration : un paramètre par défaut choisi par un fournisseur détermine le niveau de sécurité de milliers de nœuds
La vulnérabilité nécessite une configuration « non standard » pour être exploitée ; les utilisateurs ordinaires ne sont pas directement concernés, et aucune exploitation active n’a été détectée par l’équipe officielle
Ce qui reste sans solution, c’est le décalage entre « je pensais être en sécurité » et « ma configuration vient de quelqu’un d’autre »
Quand vous voyez ce genre d’actualité, posez-vous trois questions
Est-ce l’argent ou la protection qui est touché ?
La vulnérabilité nécessite-t-elle une configuration non standard ? Ai-je modifié ce paramètre ?
Quand le correctif sera-t-il publié ? Quand la vulnérabilité sera-t-elle divulguée ? Combien de temps se sera écoulé entre les deux ?
Prenez toujours le temps de vérifier vous-même les paramètres par défaut qu’on vous fournit
Qui a défini votre configuration : un fournisseur, un tutoriel ou vous-même ?
Bitcoin Core n’a rendu la vulnérabilité publique qu’un an plus tard. Vous trouvez cela responsable ou trop lent ?
#比特币Core披露Tor流量漏洞
Le 10 novembre, Bitcoin Core a révélé trois vulnérabilités. La plus importante est CVE-2025-62860
De gravité moyenne, elle affecte les versions antérieures à 28.3, 29.2 et 30.0
Pour les connexions externes passant par Tor, l’adresse IP affichée est celle du logiciel Tor local
Si cette adresse se trouve dans la plage d’adresses IP de confiance définie par -whitelist, Core traite les inconnus comme des personnes de confiance figurant sur la liste blanche
Une fois sur la liste blanche, les limites de protection contre les attaques DoS sont levées, et les mesures d’atténuation des fuites de confidentialité sont également désactivées
Pourquoi des milliers de nœuds du réseau principal ont-ils été touchés ?
Le problème ne venait pas des paramètres par défaut de Core : les nœuds n’ayant pas configuré de -whitelist non standard n’ont jamais été touchés
Ce sont des fournisseurs qui ont regroupé Core et Tor, puis ont aussi configuré -whitelist pour qu’elle corresponde à la plage d’adresses de Tor
Une valeur par défaut choisie par commodité a ouvert la porte à tout le monde
Ce qui a été perdu cette fois, ce ne sont pas des bitcoins, mais une protection
Les transactions indésirables peuvent affluer sans limitation de débit, et la protection de la vie privée ne fonctionne plus
Les clés privées n’ont pas été volées, la règle d’émission de $BTC n’a pas changé, et le montant que vous détenez non plus
C’est le système immunitaire des nœuds qui a été affaibli
Deux autres vulnérabilités ont aussi été révélées le même jour : une de gravité élevée et une de gravité moyenne
Les trois vulnérabilités ont été corrigées en octobre 2025, mais leur divulgation publique n’a eu lieu que le 10 novembre de cette année
La maintenance de la série 29.x a pris fin le 27 octobre, mais l’annonce n’a été publiée que le 10 novembre
Ceux qui utilisent encore la série 29.x n’avaient déjà plus accès à des mises à jour de sécurité lorsqu’ils ont appris l’existence de la vulnérabilité
La révéler trop tôt revient à fournir un mode d’emploi aux attaquants ; la révéler trop tard, c’est laisser les anciens utilisateurs sans défense. Voilà le dilemme insoluble de la politique de divulgation
Mon avis
Le véritable problème ne vient pas du code, mais de l’intégration : un paramètre par défaut choisi par un fournisseur détermine le niveau de sécurité de milliers de nœuds
La vulnérabilité nécessite une configuration « non standard » pour être exploitée ; les utilisateurs ordinaires ne sont pas directement concernés, et aucune exploitation active n’a été détectée par l’équipe officielle
Ce qui reste sans solution, c’est le décalage entre « je pensais être en sécurité » et « ma configuration vient de quelqu’un d’autre »
Quand vous voyez ce genre d’actualité, posez-vous trois questions
Est-ce l’argent ou la protection qui est touché ?
La vulnérabilité nécessite-t-elle une configuration non standard ? Ai-je modifié ce paramètre ?
Quand le correctif sera-t-il publié ? Quand la vulnérabilité sera-t-elle divulguée ? Combien de temps se sera écoulé entre les deux ?
Prenez toujours le temps de vérifier vous-même les paramètres par défaut qu’on vous fournit
Qui a défini votre configuration : un fournisseur, un tutoriel ou vous-même ?
Bitcoin Core n’a rendu la vulnérabilité publique qu’un an plus tard. Vous trouvez cela responsable ou trop lent ?
#比特币Core披露Tor流量漏洞