Bitcoin Core đã thông qua một thay đổi quy tắc vào ngày 22 tháng 10, mở ra làn đường nhanh hơn cho việc khắc phục lỗ hổng: một lỗi được đánh giá là dễ để kẻ tấn công tìm lại giờ đây có thể được vá đồng thời trên mọi nhánh phát hành vẫn còn được duy trì, kèm theo thông báo bảo mật được công bố khi từng bản sửa lỗi được triển khai. Thay đổi này được đưa ra trong bối cảnh một ảnh chụp mạng do Viện Công nghệ Karlsruhe (KIT) thực hiện cho thấy 43.6% số nút Bitcoin Core công khai được lấy mẫu đang chạy các phiên bản không còn nhận bản vá.

Theo quy tắc mới, các nhà phát triển có thể phân loại lỗi trong quá trình phân loại ban đầu, đánh giá mức độ dễ dàng để tìm ra lỗi đó lần nữa, kể cả khi có sự hỗ trợ của các mô hình ngôn ngữ lớn. Nhà phát triển Bitcoin Core Antoine Poinsot đã thông báo về thay đổi này trên danh sách thư bitcoindev trong yêu cầu kéo đã được hợp nhất, nhằm cập nhật chính sách bảo mật của dự án. Ông lập luận rằng lệnh cấm tiết lộ trước đây chẳng đạt được bao nhiêu, trong khi lại trì hoãn việc phát hành phiên bản đã khắc phục lỗi. Ông lưu ý rằng sự đánh đổi là các biện pháp giảm thiểu có ít thời gian hơn để chứng minh hiệu quả trên các nhánh phát triển. Tính đến ngày 23 tháng 10, danh mục mới vẫn chưa được áp dụng công khai cho bất kỳ lỗi cụ thể nào.

Thay đổi này chấm dứt chính sách giữ kín thông tin về lỗi có mức độ nghiêm trọng trung bình và cao cho đến hai tuần sau khi phiên bản bị ảnh hưởng cuối cùng hết vòng đời, một khoảng thời gian có thể kéo dài gần một năm. Thời gian giữ kín — khoảng thời gian thông tin về lỗ hổng chưa được công bố cho đến khi các phiên bản đã sửa được triển khai rộng rãi — vốn dựa vào giả định rằng lỗi khó bị phát hiện lại. Các công cụ AI làm suy yếu giả định đó, nên việc im lặng kéo dài giờ đây trì hoãn các bản sửa lỗi nhiều hơn là bảo vệ những người vận hành.

Chính sách cũ được áp dụng ra sao

Cách làm của dự án thể hiện qua việc công bố CVE-2024-52911. Lỗi use-after-free mức độ nghiêm trọng cao trong quá trình xác thực khối, ảnh hưởng đến các phiên bản sau 0.14.0 và trước 29.0, cho phép một khối không hợp lệ được tạo riêng làm sập một nút mạng. Lỗi được báo cáo vào tháng 11 năm 2024, được sửa trong phiên bản 29.0 vào tháng 4 năm 2025 và được công bố vào ngày 5 tháng 5 năm 2026, khoảng 388 ngày sau khi sửa. Mô thức này vẫn tiếp diễn: ghi chú phát hành phiên bản 32.0 cho biết ba lỗi mức độ nghiêm trọng trung bình hoặc cao được khắc phục ở phiên bản 30.0 sẽ tiếp tục được giữ kín cho đến hai tuần sau khi phiên bản mới được phát hành.

Tỷ lệ phiên bản không còn được hỗ trợ

Bitcoin Core chỉ duy trì ba nhánh phát hành chính mới nhất, hiện là 29.x, 30.x và 31.x. Ảnh chụp dữ liệu KIT ngày 18 tháng 10 ghi nhận 3.671 trong số 8.422 nút ngang hàng Bitcoin Core tự khai báo đang chạy các nhánh đã hết vòng đời; số còn lại chạy 31.x (3.243), 30.x (712) và 29.x (635). Số liệu chỉ bao gồm các nút ngang hàng IPv4 và IPv6 công khai, nên không tính các nút chỉ dùng Tor, các nút không lắng nghe kết nối và hạ tầng riêng do sàn giao dịch, đơn vị lưu ký và thợ đào vận hành. Độc giả muốn tìm hiểu kiến thức cơ bản có thể bắt đầu với bài viết về nút mạng tiền mã hóa là gì và cách chúng hoạt động.

Tỷ lệ này dự kiến sẽ tăng. Khi phiên bản 32.0 được phát hành, 29.x sẽ không còn nằm trong thời gian được duy trì; phép chiếu từ ảnh chụp dữ liệu cho thấy 4.306 trong số 8.422 nút ngang hàng, tương đương 51,1%, sẽ chạy các nhánh không được hỗ trợ nếu mẫu không thay đổi. Tính đến ngày 24 tháng 10, trang vòng đời của dự án vẫn ghi ngày phát hành 32.0 là chưa xác định; trong thư mục tải xuống mới chỉ có các bản ứng viên phát hành.

Core 32.0 cũng chuyển định dạng giao dịch Bitcoin được ký một phần mặc định từ phiên bản 0 sang phiên bản 2, điều này quan trọng đối với các thiết lập đa chữ ký kết hợp nút mạng cũ và mới. Vì Bitcoin không có cơ quan trung ương nào có thể buộc mọi người nâng cấp, tính bảo mật của mạng phụ thuộc vào việc các đơn vị vận hành có chọn cập nhật hay không.