“Koneksi yang masuk lewat Tor, atas dasar apa dianggap tepercaya?” tanya seorang teman yang menjalankan node sendiri. Saya membaca pengumuman itu dua kali, dan bagian yang membuat saya bingung adalah lapisan alamat. $BNB
Saat koneksi peer masuk melalui Tor, yang dilihat node adalah alamat daemon Tor di mesin lokal—biasanya berada di mesin yang sama atau di jaringan lokal yang sama. Sumber asli koneksi dari pihak lain sama sekali tidak terlihat pada lapisan ini. Sementara itu, opsi non-default -whitelist memberikan perlakuan “tepercaya” berdasarkan rentang IP: selama rentang itu mencakup daemon, koneksi dari luar juga akan mewarisi status tersebut. Opsi ini pada dasarnya dimaksudkan agar klien pendamping dapat terhubung ke daemon lokal. Kriterianya hanya IP sumber, bukan identitas pihak yang terhubung. Begitu daftar putih diaktifkan, berbagai pembatasan untuk mencegah DoS dan langkah mitigasi kebocoran privasi tidak lagi berlaku bagi koneksi tersebut. $ETH
Masalahnya ada pada cara perangkat lunak dikemas. Sejumlah penerbit menggabungkan perangkat lunak node dengan daemon Tor, lalu sekalian mengatur -whitelist agar cocok dengan rentang IP-nya. Beberapa klien pendamping memang tidak bisa berjalan kecuali opsi ini diaktifkan. Ketika kedua hal ini berpadu, pengumuman aslinya menyebut bahwa “ribuan node mainnet yang dapat dijangkau” memasukkan semua koneksi Tor masuk ke daftar putih. Node yang tidak pernah mengubah opsi non-default -whitelist sama sekali tidak ikut terhitung. $SOL
Perbaikannya cukup lugas: koneksi yang masuk melalui onion bind sama sekali tidak dimasukkan ke daftar putih, sehingga pencocokan alamat dilewati begitu saja.
Perubahan bernomor 33395 dibuka pada 15 September 2025, digabungkan pada tanggal 17, lalu di-backport. Versi sebelum 28.3, 29.2, dan 30.0 terdampak; perbaikan baru tersedia di rilis minor berikutnya. Sebelumnya, pada tanggal 12, Martin Zumsande dan Antoine Poinsot melaporkan masalah ini kepada tim keamanan. Pada tanggal 17 di hari yang sama, mereka juga memberi tahu Luke Dashjr, pengelola Bitcoin Knots, dan pada tanggal 19 mereka memberi tahu beberapa vendor perangkat lunak yang terdampak. Bagi yang belum bisa segera melakukan upgrade, pengumuman tersebut hanya memberikan satu solusi sementara: hapus IP proksi Tor lokal dari -whitelist.
Ini adalah pendapat pribadi, bukan saran investasi. Risiko untung maupun rugi ditanggung sendiri.
#比特币Core披露Tor流量漏洞
Saat koneksi peer masuk melalui Tor, yang dilihat node adalah alamat daemon Tor di mesin lokal—biasanya berada di mesin yang sama atau di jaringan lokal yang sama. Sumber asli koneksi dari pihak lain sama sekali tidak terlihat pada lapisan ini. Sementara itu, opsi non-default -whitelist memberikan perlakuan “tepercaya” berdasarkan rentang IP: selama rentang itu mencakup daemon, koneksi dari luar juga akan mewarisi status tersebut. Opsi ini pada dasarnya dimaksudkan agar klien pendamping dapat terhubung ke daemon lokal. Kriterianya hanya IP sumber, bukan identitas pihak yang terhubung. Begitu daftar putih diaktifkan, berbagai pembatasan untuk mencegah DoS dan langkah mitigasi kebocoran privasi tidak lagi berlaku bagi koneksi tersebut. $ETH
Masalahnya ada pada cara perangkat lunak dikemas. Sejumlah penerbit menggabungkan perangkat lunak node dengan daemon Tor, lalu sekalian mengatur -whitelist agar cocok dengan rentang IP-nya. Beberapa klien pendamping memang tidak bisa berjalan kecuali opsi ini diaktifkan. Ketika kedua hal ini berpadu, pengumuman aslinya menyebut bahwa “ribuan node mainnet yang dapat dijangkau” memasukkan semua koneksi Tor masuk ke daftar putih. Node yang tidak pernah mengubah opsi non-default -whitelist sama sekali tidak ikut terhitung. $SOL
Perbaikannya cukup lugas: koneksi yang masuk melalui onion bind sama sekali tidak dimasukkan ke daftar putih, sehingga pencocokan alamat dilewati begitu saja.
Perubahan bernomor 33395 dibuka pada 15 September 2025, digabungkan pada tanggal 17, lalu di-backport. Versi sebelum 28.3, 29.2, dan 30.0 terdampak; perbaikan baru tersedia di rilis minor berikutnya. Sebelumnya, pada tanggal 12, Martin Zumsande dan Antoine Poinsot melaporkan masalah ini kepada tim keamanan. Pada tanggal 17 di hari yang sama, mereka juga memberi tahu Luke Dashjr, pengelola Bitcoin Knots, dan pada tanggal 19 mereka memberi tahu beberapa vendor perangkat lunak yang terdampak. Bagi yang belum bisa segera melakukan upgrade, pengumuman tersebut hanya memberikan satu solusi sementara: hapus IP proksi Tor lokal dari -whitelist.
Ini adalah pendapat pribadi, bukan saran investasi. Risiko untung maupun rugi ditanggung sendiri.
#比特币Core披露Tor流量漏洞
