Bitcoin Core-udviklere har offentliggjort en alvorlig fejl, der kan forhindre berørte noder i at bygge nye blokke. Fejlen opstod under kæde-omorganiseringer og ødelagde nodens mempool.
Heldigvis løste udviklerne problemet for over et år siden, men ældre noder kan stadig være udsat for risiko.
Sådan kan en kæde-omorganisering ødelægge blok-bygning på Bitcoin
Et blokskabelon er den kandidatblok, som en node forbereder til, at minere kan arbejde på den. Uden den kan en mining-node ikke producere nye blokke.
Den 10. november offentliggjorde Bitcoin Core en advarsel om CVE-2025-62861. Her er hovedpunkterne:
- Berørte versioner: Bitcoin Core 28.0 til 28.2 og 29.0 til 29.1.
- Årsag: En regel kaldet sibling eviction opførte sig forkert under kæde-omorganiseringer.
- Fejl: Noder kunne fjerne en gendannet transaktion, men beholde dens efterfølgende transaktioner.
- Konsekvens: Tilbageværende transaktioner brugte midler, der ikke længere eksisterede.
Problemet handlede om TRUC-transaktioner, en nyere type, hvor hver transaktion kun må have ét ubekræftet barn. Med sibling eviction, som blev indført i version 28.0, kan et andet barn med højere gebyrer erstatte det første.
Men den logik fejlede, når noder genskabte transaktioner fra frakoblede blokke. Kort sagt byggede noden næste blok på et usikkert grundlag.
Hvem var i risiko på grund af Bitcoin Core-fejlen?
Det var især minere og pool-operatører, der kørte sårbare versioner. Hvis mempool blev inkonsistent, kunne blokskabelonen ikke bestå validitets-testen.
Dermed kunne den berørte node ikke længere lave blokke. Den eneste løsning var at genstarte noden, så mempool blev genopbygget fra bunden.
Sikkerhedsforsker Niklas Goegge rapporterede fejlen ansvarligt den 26. september 2025. Kort efter sendte udvikler Greg Sanders en rettelse.
Opdaterede versioner kom i oktober 2025 med 30.0, 29.2 og 28.3. Bitcoin Core offentliggjorde først detaljerne, da den sidste sårbare 29.x-version nåede slutningen af sin levetid. Det er også grunden til, at udviklere normalt venter med information, indtil de fleste noder er opdateret.
Det er værd at bemærke, at samme offentliggørelse inkluderede to andre fejl, der blev løst i version 30.0. En kunne sætte blokbehandlingen i stå, mens en anden ukorrekt gav adgang til indgående Tor-forbindelser. Offentliggørelsen fulgte også op på en oktober-runde med tre andre fejl, som AI-baserede Project Loupe opdagede.
Derfor bør operatører, der stadig kører version 28.0 til 29.1, opdatere med det samme. Genstart af en ramt node genopretter også en ren mempool.
