「Tor経由の接続を、なぜ身内扱いするの？」自分でノードを運用している友人にそう聞かれた。あの告知を2回読み返して、引っかかったのはアドレスの扱いだった。 $BNB

Tor経由で入ってくるピア接続について、ノードに見えるのはローカルのTorデーモンのアドレスだ。通常は同じマシン上、同じLAN内にある。相手の本当の接続元は、この層ではまったく見えない。一方、デフォルトでは無効のオプションである -whitelist は、IP範囲に基づいて「信頼できる」扱いを与える。その範囲にデーモンが含まれていれば、外部からの接続もまとめてその扱いを引き継ぐ。このオプションは本来、連携するクライアントがローカルのデーモンに接続できるようにするためのものだ。判定基準は接続元IPだけで、相手が誰かは確認しない。ホワイトリストを有効にすると、DoS対策の制限やプライバシー漏えいを抑える措置が、その接続にはすべて適用されなくなる。 $ETH

問題はソフトウェアのパッケージ方法にあった。複数の配布元がノードソフトウェアとTorデーモンを一緒に配布し、さらに -whitelist に一致するIP範囲を設定していた。連携クライアントの中には、そもそもこのオプションを有効にしないと動作しないものもある。こうした条件が重なり、告知の原文によれば、「数千の到達可能なメインネットノード」が、すべてのTor経由の着信接続をホワイトリストに追加していた。デフォルトでは無効の -whitelist を変更していないノードは、一度も対象に含まれていなかった。 $SOL

パッチは実に明快だ。onion bind 経由で入ってくる接続は、すべてホワイトリストに追加しない。アドレス照合の層を完全に迂回する。

変更番号33395は、2025年9月15日に作成され、17日にマージされ、旧バージョンにもバックポートされた。28.3、29.2、30.0より前のバージョンが影響を受け、修正が含まれるのはそれ以降のマイナーバージョンだ。さかのぼると、12日にMartin ZumsandeとAntoine Poinsotがセキュリティチームに問題を報告し、17日には同じ日にBitcoin KnotsのメンテナーであるLuke Dashjrにも知らせ、19日には影響を受ける複数のソフトウェアベンダーに通知した。すぐにアップグレードできない場合、告知が示す暫定策はひとつだけ。ローカルのTorプロキシのIPを -whitelist から削除することだ。

個人の見解であり、投資助言ではありません。損益は自己責任でお願いします。
#比特币Core披露Tor流量漏洞