Daftar putih awalnya adalah pintu yang dibuka untuk orang dalam, tetapi akhirnya malah terbuka untuk semua orang
Pada 10 November, Bitcoin Core mengungkap tiga kerentanan. Yang paling patut diperhatikan adalah CVE-2025-62860
Tingkat keparahan sedang, memengaruhi versi sebelum 28.3, 29.2, dan 30.0
Koneksi eksternal yang masuk melalui Tor akan menampilkan alamat IP perangkat lunak Tor lokal
Jika alamat ini masuk dalam rentang IP tepercaya yang dikonfigurasi dengan -whitelist, Core akan menganggap orang asing sebagai orang dalam yang ada di daftar putih
Begitu masuk daftar putih, pembatasan anti-DoS dicabut, dan langkah mitigasi kebocoran privasi juga dinonaktifkan
Mengapa ribuan node mainnet terdampak?
Bukan karena pengaturan bawaan Core bermasalah. Node yang tidak pernah mengatur -whitelist selain ke nilai bawaan tidak pernah terdampak
Masalahnya, vendor memaketkan Core dan Tor, lalu sekalian mengatur -whitelist agar cocok dengan rentang alamat Tor
Satu nilai bawaan yang dipilih demi kemudahan akhirnya membuka pintu bagi semua orang
Yang hilang kali ini bukan koin, melainkan perlindungan
Transaksi sampah bisa masuk tanpa batas kecepatan, dan perlindungan privasi tidak berfungsi
Kunci privat tidak dicuri, aturan suplai $BTC tidak berubah, jumlah yang Anda miliki pun tetap sama
Yang melemah adalah sistem kekebalan node
Pada hari yang sama, dua kerentanan lain juga diungkap: satu berkeparahan tinggi dan satu sedang
Ketiga kerentanan sudah diperbaiki pada Oktober 2025, tetapi baru diungkap pada 10 November tahun ini
Seri 29.x berhenti dipelihara pada 27 Oktober, tetapi pengumumannya baru terbit pada 10 November
Bagi yang masih menjalankan 29.x, saat mengetahui adanya kerentanan, pembaruan keamanan sudah tidak tersedia lagi
Mengungkapkannya terlalu dini sama saja memberi panduan kepada penyerang; terlambat mengungkapkannya membuat pengguna lama terpapar tanpa perlindungan. Inilah dilema kebijakan pengungkapan
Penilaian saya
Masalah sebenarnya bukan pada kode, melainkan pada integrasi—satu konfigurasi bawaan dari vendor menentukan tingkat keamanan ribuan node
Syarat pemicunya adalah konfigurasi “non-bawaan”; pengguna biasa tidak terdampak secara langsung, dan pihak resmi juga tidak menemukan eksploitasi aktif
Hal yang paling belum teratasi adalah kesenjangan antara “saya kira saya aman” dan “konfigurasi saya berasal dari orang lain”
Saat membaca berita semacam ini, ajukan tiga pertanyaan
Yang terdampak itu uang atau perlindungan?
Apakah pemicunya konfigurasi non-bawaan, dan apakah saya pernah mengubahnya?
Kapan versi perbaikan dirilis, kapan kerentanan diungkap, dan berapa lama jeda di antaranya?
Konfigurasi bawaan yang diberikan orang lain harus selalu Anda periksa sendiri
Siapa yang menulis konfigurasi Anda—vendor, panduan, atau Anda sendiri?
Bitcoin Core baru mengungkapkannya lebih dari setahun kemudian. Menurut Anda, apakah itu bertanggung jawab atau terlalu lambat?
#比特币Core披露Tor流量漏洞
Pada 10 November, Bitcoin Core mengungkap tiga kerentanan. Yang paling patut diperhatikan adalah CVE-2025-62860
Tingkat keparahan sedang, memengaruhi versi sebelum 28.3, 29.2, dan 30.0
Koneksi eksternal yang masuk melalui Tor akan menampilkan alamat IP perangkat lunak Tor lokal
Jika alamat ini masuk dalam rentang IP tepercaya yang dikonfigurasi dengan -whitelist, Core akan menganggap orang asing sebagai orang dalam yang ada di daftar putih
Begitu masuk daftar putih, pembatasan anti-DoS dicabut, dan langkah mitigasi kebocoran privasi juga dinonaktifkan
Mengapa ribuan node mainnet terdampak?
Bukan karena pengaturan bawaan Core bermasalah. Node yang tidak pernah mengatur -whitelist selain ke nilai bawaan tidak pernah terdampak
Masalahnya, vendor memaketkan Core dan Tor, lalu sekalian mengatur -whitelist agar cocok dengan rentang alamat Tor
Satu nilai bawaan yang dipilih demi kemudahan akhirnya membuka pintu bagi semua orang
Yang hilang kali ini bukan koin, melainkan perlindungan
Transaksi sampah bisa masuk tanpa batas kecepatan, dan perlindungan privasi tidak berfungsi
Kunci privat tidak dicuri, aturan suplai $BTC tidak berubah, jumlah yang Anda miliki pun tetap sama
Yang melemah adalah sistem kekebalan node
Pada hari yang sama, dua kerentanan lain juga diungkap: satu berkeparahan tinggi dan satu sedang
Ketiga kerentanan sudah diperbaiki pada Oktober 2025, tetapi baru diungkap pada 10 November tahun ini
Seri 29.x berhenti dipelihara pada 27 Oktober, tetapi pengumumannya baru terbit pada 10 November
Bagi yang masih menjalankan 29.x, saat mengetahui adanya kerentanan, pembaruan keamanan sudah tidak tersedia lagi
Mengungkapkannya terlalu dini sama saja memberi panduan kepada penyerang; terlambat mengungkapkannya membuat pengguna lama terpapar tanpa perlindungan. Inilah dilema kebijakan pengungkapan
Penilaian saya
Masalah sebenarnya bukan pada kode, melainkan pada integrasi—satu konfigurasi bawaan dari vendor menentukan tingkat keamanan ribuan node
Syarat pemicunya adalah konfigurasi “non-bawaan”; pengguna biasa tidak terdampak secara langsung, dan pihak resmi juga tidak menemukan eksploitasi aktif
Hal yang paling belum teratasi adalah kesenjangan antara “saya kira saya aman” dan “konfigurasi saya berasal dari orang lain”
Saat membaca berita semacam ini, ajukan tiga pertanyaan
Yang terdampak itu uang atau perlindungan?
Apakah pemicunya konfigurasi non-bawaan, dan apakah saya pernah mengubahnya?
Kapan versi perbaikan dirilis, kapan kerentanan diungkap, dan berapa lama jeda di antaranya?
Konfigurasi bawaan yang diberikan orang lain harus selalu Anda periksa sendiri
Siapa yang menulis konfigurasi Anda—vendor, panduan, atau Anda sendiri?
Bitcoin Core baru mengungkapkannya lebih dari setahun kemudian. Menurut Anda, apakah itu bertanggung jawab atau terlalu lambat?
#比特币Core披露Tor流量漏洞