Bitcoin Core menggabungkan perubahan aturan pada 22 Oktober yang membuka jalur lebih cepat untuk perbaikan kerentanan: cacat yang dinilai mudah ditemukan kembali oleh penyerang kini dapat ditambal sekaligus di semua lini rilis yang masih dipelihara, dengan pemberitahuan keamanan diterbitkan setiap kali perbaikan dirilis. Perubahan ini terjadi saat cuplikan jaringan dari Karlsruhe Institute of Technology (KIT) menunjukkan bahwa 43,6% peer Bitcoin Core publik yang disampel menjalankan versi yang tidak lagi menerima tambalan.

Berdasarkan aturan baru, pengembang dapat mengklasifikasikan cacat pada tahap triase dengan menilai seberapa mudah cacat itu ditemukan kembali, termasuk dengan bantuan model bahasa besar. Pengembang Bitcoin Core Antoine Poinsot mengumumkan perubahan tersebut di milis bitcoindev, dalam permintaan penggabungan yang memperbarui kebijakan keamanan proyek. Ia berpendapat bahwa embargo lama tidak banyak manfaatnya, sementara menunda ketersediaan rilis yang sudah diperbaiki. Kompromi yang ia soroti adalah mitigasi memiliki lebih sedikit waktu untuk membuktikan efektivitasnya di cabang pengembangan. Per 23 Oktober, kategori baru tersebut belum diterapkan secara publik pada bug tertentu.

Perubahan ini mengakhiri kebijakan yang menahan detail bug dengan tingkat keparahan sedang dan tinggi hingga dua minggu setelah masa dukungan berakhir untuk rilis terakhir yang terdampak, jangka waktu yang bisa mencapai hampir satu tahun. Embargo—periode ketika detail kerentanan dirahasiakan sampai rilis yang telah diperbaiki digunakan secara luas—bergantung pada asumsi bahwa bug sulit ditemukan kembali. Perangkat AI melemahkan asumsi itu, sehingga kerahasiaan yang berkepanjangan kini lebih banyak menunda perbaikan daripada melindungi operator.

Dampak kebijakan lama

Praktik proyek ini terlihat dalam pengungkapan CVE-2024-52911. Kerentanan use-after-free dengan tingkat keparahan tinggi pada validasi blok, yang berdampak pada versi setelah 0.14.0 dan sebelum 29.0 serta memungkinkan blok tidak valid yang dibuat khusus membuat sebuah node mengalami crash, dilaporkan pada November 2024, diperbaiki di versi 29.0 pada April 2025, dan diungkapkan pada 5 Mei 2026, sekitar 388 hari setelah perbaikan. Pola ini berlanjut: catatan rilis versi 32.0 menyatakan bahwa tiga celah dengan tingkat keparahan sedang atau tinggi yang diperbaiki di versi 30.0 akan tetap dirahasiakan hingga dua minggu setelah versi baru dirilis.

Porsi yang tidak didukung

Bitcoin Core hanya memelihara tiga lini rilis mayor terbarunya, yang saat ini adalah 29.x, 30.x, dan 31.x. Data snapshot KIT per 18 Oktober mencatat 3.671 dari 8.422 peer Bitcoin Core yang melaporkan sendiri versinya berada pada lini yang masa dukungannya telah berakhir, sementara sisanya menggunakan 31.x (3.243), 30.x (712), dan 29.x (635). Perhitungan ini hanya mencakup peer IPv4 dan IPv6 publik, sehingga node yang hanya menggunakan Tor, node yang tidak menerima koneksi, serta infrastruktur bursa, kustodian, dan penambang yang dijalankan secara privat tidak termasuk. Pembaca yang ingin memahami dasar-dasarnya dapat memulai dengan mempelajari apa itu node kripto dan cara kerjanya.

Porsinya diperkirakan akan bertambah. Saat versi 32.0 dirilis, 29.x akan keluar dari jendela pemeliharaan, dan proyeksi berdasarkan snapshot tersebut memperkirakan 4.306 dari 8.422 peer, atau 51,1%, akan menggunakan lini yang tidak didukung jika sampelnya tidak berubah. Hingga 24 Oktober, halaman siklus hidup proyek masih mencantumkan tanggal rilis versi 32.0 sebagai TBA, dengan hanya kandidat rilis yang tersedia di direktori unduhan.

Core 32.0 juga mengubah format transaksi Bitcoin bertanda tangan parsial bawaan dari versi 0 menjadi versi 2, yang penting bagi konfigurasi multisig yang mencampurkan node lama dan baru. Karena Bitcoin tidak memiliki otoritas pusat yang dapat memaksakan pembaruan, keamanan jaringan bergantung pada keputusan operator untuk memperbarui.