Белый список должен был стать дверью для своих, но в итоге дверь открылась для всех
10 ноября Bitcoin Core сообщил о трёх уязвимостях. Самая интересная — CVE-2025-62860
Средней степени опасности, затрагивает версии до 28.3, 29.2 и 30.0
У внешних подключений через Tor отображается IP-адрес локального ПО Tor
Если этот адрес попадает в доверенный диапазон IP, заданный параметром -whitelist, Core принимает незнакомца за своего — пользователя из белого списка
Попав в белый список, он получает снятие ограничений против DoS, а меры по снижению риска утечки конфиденциальных данных также отключаются
Почему это затронуло тысячи узлов основной сети
Проблема не в настройках Core по умолчанию: узлы, где не задавали нестандартный параметр -whitelist, никогда не подвергались риску
Причина в том, что поставщики объединяли Core и Tor в один пакет и заодно настраивали -whitelist так, чтобы он соответствовал диапазону адресов Tor
Одно удобное значение по умолчанию открыло дверь для всех
В этот раз потеряли не монеты, а защиту
В узел можно без ограничений по скорости заливать спам-транзакции, защита конфиденциальности перестаёт работать
Приватные ключи не украли, правило эмиссии $BTC не изменилось, и количество монет у вас осталось прежним
Ослабла иммунная система узлов
В тот же день сообщили ещё о двух уязвимостях: одной высокой и одной средней степени опасности
Все три уязвимости исправили ещё в октябре 2025 года, а публично сообщили о них 10 ноября этого года
Поддержка серии 29.x завершилась 27 октября, а уведомление опубликовали только 10 ноября
Те, кто всё ещё использует 29.x, узнали об уязвимости уже после того, как перестали выходить обновления безопасности
Сообщить слишком рано — всё равно что вручить инструкцию злоумышленникам, а слишком поздно — оставить старых пользователей без защиты. В этом и состоит дилемма политики раскрытия уязвимостей
Моя оценка
Настоящая проблема не в коде, а в интеграции: одна настройка по умолчанию у поставщика определяет уровень безопасности тысяч узлов
Условие срабатывания — нестандартная конфигурация; обычных пользователей это напрямую не затрагивает, и официальных сообщений об активной эксплуатации нет
Главная нерешённая проблема — разрыв между «я думал, что я в безопасности» и «моя конфигурация пришла от кого-то другого»
Читая такие новости, задайте себе три вопроса:
Под угрозой деньги или защита?
Уязвимость срабатывает только при нестандартной конфигурации? Менял ли я её?
Когда вышло исправление, когда уязвимость раскрыли публично и сколько времени прошло между этими событиями?
Настройки по умолчанию, которые вам предоставили другие, обязательно проверьте сами
Кто создал вашу конфигурацию — поставщик, автор руководства или вы сами?
Bitcoin Core раскрыл уязвимость лишь спустя больше года. Как вы считаете, это ответственный подход или слишком поздно?
#比特币Core披露Tor流量漏洞
10 ноября Bitcoin Core сообщил о трёх уязвимостях. Самая интересная — CVE-2025-62860
Средней степени опасности, затрагивает версии до 28.3, 29.2 и 30.0
У внешних подключений через Tor отображается IP-адрес локального ПО Tor
Если этот адрес попадает в доверенный диапазон IP, заданный параметром -whitelist, Core принимает незнакомца за своего — пользователя из белого списка
Попав в белый список, он получает снятие ограничений против DoS, а меры по снижению риска утечки конфиденциальных данных также отключаются
Почему это затронуло тысячи узлов основной сети
Проблема не в настройках Core по умолчанию: узлы, где не задавали нестандартный параметр -whitelist, никогда не подвергались риску
Причина в том, что поставщики объединяли Core и Tor в один пакет и заодно настраивали -whitelist так, чтобы он соответствовал диапазону адресов Tor
Одно удобное значение по умолчанию открыло дверь для всех
В этот раз потеряли не монеты, а защиту
В узел можно без ограничений по скорости заливать спам-транзакции, защита конфиденциальности перестаёт работать
Приватные ключи не украли, правило эмиссии $BTC не изменилось, и количество монет у вас осталось прежним
Ослабла иммунная система узлов
В тот же день сообщили ещё о двух уязвимостях: одной высокой и одной средней степени опасности
Все три уязвимости исправили ещё в октябре 2025 года, а публично сообщили о них 10 ноября этого года
Поддержка серии 29.x завершилась 27 октября, а уведомление опубликовали только 10 ноября
Те, кто всё ещё использует 29.x, узнали об уязвимости уже после того, как перестали выходить обновления безопасности
Сообщить слишком рано — всё равно что вручить инструкцию злоумышленникам, а слишком поздно — оставить старых пользователей без защиты. В этом и состоит дилемма политики раскрытия уязвимостей
Моя оценка
Настоящая проблема не в коде, а в интеграции: одна настройка по умолчанию у поставщика определяет уровень безопасности тысяч узлов
Условие срабатывания — нестандартная конфигурация; обычных пользователей это напрямую не затрагивает, и официальных сообщений об активной эксплуатации нет
Главная нерешённая проблема — разрыв между «я думал, что я в безопасности» и «моя конфигурация пришла от кого-то другого»
Читая такие новости, задайте себе три вопроса:
Под угрозой деньги или защита?
Уязвимость срабатывает только при нестандартной конфигурации? Менял ли я её?
Когда вышло исправление, когда уязвимость раскрыли публично и сколько времени прошло между этими событиями?
Настройки по умолчанию, которые вам предоставили другие, обязательно проверьте сами
Кто создал вашу конфигурацию — поставщик, автор руководства или вы сами?
Bitcoin Core раскрыл уязвимость лишь спустя больше года. Как вы считаете, это ответственный подход или слишком поздно?
#比特币Core披露Tor流量漏洞