Whitelist vốn là cánh cửa mở cho người nhà, nhưng cuối cùng lại thành cánh cửa mở cho tất cả mọi người
Ngày 10 tháng 11, Bitcoin Core tiết lộ ba lỗ hổng. Đáng chú ý nhất là CVE-2025-62860
Mức độ trung bình, ảnh hưởng đến các phiên bản trước 28.3, 29.2 và 30.0
Các kết nối bên ngoài thông qua Tor hiển thị địa chỉ IP của phần mềm Tor cục bộ
Nếu địa chỉ này nằm trong dải IP tin cậy được cấu hình bằng -whitelist, Core sẽ nhầm người lạ là người nhà trong whitelist
Khi đã vào whitelist, giới hạn chống DoS bị gỡ bỏ, các biện pháp giảm thiểu rò rỉ quyền riêng tư cũng bị tắt
Vì sao sự cố ảnh hưởng đến hàng nghìn nút mạng chính
Không phải do cài đặt mặc định của Core có vấn đề; các nút chưa từng đặt -whitelist khác mặc định không bị ảnh hưởng
Mà là nhà cung cấp đóng gói Core cùng Tor, rồi tiện tay cấu hình -whitelist khớp với dải địa chỉ Tor
Một giá trị mặc định cho tiện đã mở cửa cho tất cả mọi người
Thứ bị mất lần này không phải tiền, mà là khả năng phòng vệ
Giao dịch rác có thể được gửi vào không giới hạn tốc độ, bảo vệ quyền riêng tư mất tác dụng
Không ai đánh cắp khóa riêng, quy tắc về nguồn cung $BTC không thay đổi, số lượng bạn đang nắm giữ cũng vậy
Thứ bị suy yếu là hệ miễn dịch của nút mạng
Cùng ngày, hai lỗ hổng khác cũng được tiết lộ: một nghiêm trọng, một trung bình
Cả ba lỗ hổng đã được sửa từ tháng 10 năm 2025, nhưng đến ngày 10 tháng 11 năm nay mới được công bố
Dòng 29.x ngừng hỗ trợ vào ngày 27 tháng 10, nhưng thông báo đến ngày 10 tháng 11 mới được đưa ra
Những người vẫn chạy 29.x, khi vừa biết có lỗ hổng thì đã không còn bản cập nhật bảo mật nào để cài
Công bố sớm quá là phát tài liệu hướng dẫn cho kẻ tấn công; công bố muộn quá là để người dùng cũ phơi mình trước nguy hiểm. Đây là thế khó không lối thoát của chính sách công bố lỗ hổng
Nhận định của tôi
Vấn đề thực sự không nằm ở mã nguồn, mà ở khâu tích hợp — một cấu hình mặc định của nhà cung cấp quyết định mức độ an toàn của hàng chục nghìn nút mạng
Điều kiện kích hoạt là “không mặc định”, người dùng thông thường không bị ảnh hưởng trực tiếp và phía chính thức cũng chưa phát hiện việc khai thác chủ động
Điều chưa được giải quyết nhất là khoảng cách giữa “tôi nghĩ mình an toàn” và “cấu hình của tôi do người khác cung cấp”
Khi đọc tin kiểu này, hãy tự hỏi ba điều
Ảnh hưởng đến tiền hay đến khả năng phòng vệ
Điều kiện kích hoạt có phải là cấu hình không mặc định không, tôi đã thay đổi cấu hình chưa
Bản sửa lỗi sẽ ra mắt khi nào, công bố khi nào, khoảng trống ở giữa kéo dài bao lâu
Cấu hình mặc định người khác đưa cho bạn, nhất định phải tự mình xem lại
Ai viết cấu hình của bạn: nhà cung cấp, hướng dẫn hay chính bạn
Bitcoin Core phải hơn một năm sau mới công bố. Bạn thấy đó là có trách nhiệm hay quá chậm
#比特币Core披露Tor流量漏洞
Ngày 10 tháng 11, Bitcoin Core tiết lộ ba lỗ hổng. Đáng chú ý nhất là CVE-2025-62860
Mức độ trung bình, ảnh hưởng đến các phiên bản trước 28.3, 29.2 và 30.0
Các kết nối bên ngoài thông qua Tor hiển thị địa chỉ IP của phần mềm Tor cục bộ
Nếu địa chỉ này nằm trong dải IP tin cậy được cấu hình bằng -whitelist, Core sẽ nhầm người lạ là người nhà trong whitelist
Khi đã vào whitelist, giới hạn chống DoS bị gỡ bỏ, các biện pháp giảm thiểu rò rỉ quyền riêng tư cũng bị tắt
Vì sao sự cố ảnh hưởng đến hàng nghìn nút mạng chính
Không phải do cài đặt mặc định của Core có vấn đề; các nút chưa từng đặt -whitelist khác mặc định không bị ảnh hưởng
Mà là nhà cung cấp đóng gói Core cùng Tor, rồi tiện tay cấu hình -whitelist khớp với dải địa chỉ Tor
Một giá trị mặc định cho tiện đã mở cửa cho tất cả mọi người
Thứ bị mất lần này không phải tiền, mà là khả năng phòng vệ
Giao dịch rác có thể được gửi vào không giới hạn tốc độ, bảo vệ quyền riêng tư mất tác dụng
Không ai đánh cắp khóa riêng, quy tắc về nguồn cung $BTC không thay đổi, số lượng bạn đang nắm giữ cũng vậy
Thứ bị suy yếu là hệ miễn dịch của nút mạng
Cùng ngày, hai lỗ hổng khác cũng được tiết lộ: một nghiêm trọng, một trung bình
Cả ba lỗ hổng đã được sửa từ tháng 10 năm 2025, nhưng đến ngày 10 tháng 11 năm nay mới được công bố
Dòng 29.x ngừng hỗ trợ vào ngày 27 tháng 10, nhưng thông báo đến ngày 10 tháng 11 mới được đưa ra
Những người vẫn chạy 29.x, khi vừa biết có lỗ hổng thì đã không còn bản cập nhật bảo mật nào để cài
Công bố sớm quá là phát tài liệu hướng dẫn cho kẻ tấn công; công bố muộn quá là để người dùng cũ phơi mình trước nguy hiểm. Đây là thế khó không lối thoát của chính sách công bố lỗ hổng
Nhận định của tôi
Vấn đề thực sự không nằm ở mã nguồn, mà ở khâu tích hợp — một cấu hình mặc định của nhà cung cấp quyết định mức độ an toàn của hàng chục nghìn nút mạng
Điều kiện kích hoạt là “không mặc định”, người dùng thông thường không bị ảnh hưởng trực tiếp và phía chính thức cũng chưa phát hiện việc khai thác chủ động
Điều chưa được giải quyết nhất là khoảng cách giữa “tôi nghĩ mình an toàn” và “cấu hình của tôi do người khác cung cấp”
Khi đọc tin kiểu này, hãy tự hỏi ba điều
Ảnh hưởng đến tiền hay đến khả năng phòng vệ
Điều kiện kích hoạt có phải là cấu hình không mặc định không, tôi đã thay đổi cấu hình chưa
Bản sửa lỗi sẽ ra mắt khi nào, công bố khi nào, khoảng trống ở giữa kéo dài bao lâu
Cấu hình mặc định người khác đưa cho bạn, nhất định phải tự mình xem lại
Ai viết cấu hình của bạn: nhà cung cấp, hướng dẫn hay chính bạn
Bitcoin Core phải hơn một năm sau mới công bố. Bạn thấy đó là có trách nhiệm hay quá chậm
#比特币Core披露Tor流量漏洞