Het ernstigste lek kon ervoor zorgen dat een miner met kwetsbare software tijdelijk geen geldig nieuw blok meer kon samenstellen. Twee andere fouten konden de verwerking van blokken vertragen of beschermingsmaatregelen voor bepaalde verbindingen uitschakelen.
Miningsoftware kon vastlopen na wijziging blockchain
Bitcoin Core is software waarmee computers transacties en blokken op het Bitcoinnetwerk zelfstandig controleren. Veel miners gebruiken de software ook om een pakket geldige transacties voor een nieuw blok samen te stellen.
Het ernstige lek zat in de verwerking van transacties na een zogeheten reorganisatie. Daarbij wordt een kort deel van de blockchain vervangen omdat een andere geldige keten langer blijkt te zijn.
In versies 28.0 tot en met 28.2 en 29.0 tot en met 29.1 kon zo’n gebeurtenis de tijdelijke lijst met onbevestigde transacties ontregelen. De getroffen computer kon daarna geen geldig blokpakket meer maken totdat de software opnieuw was gestart.
Bitcoin Core bracht de eerste oplossing op 10 oktober 2025 uit in versie 30.0. Kort daarna volgden ook gerepareerde versies binnen de 28- en 29-reeks. De laatste kwetsbare reeks wordt sinds 27 oktober 2026 niet meer onderhouden.
Duizenden nodes gaven Tor-verbindingen te veel rechten
Een tweede lek raakte alleen beheerders die een niet-standaardinstelling gebruikten om vertrouwde verbindingen extra rechten te geven. Binnenkomende verbindingen via het privacyprogramma Tor konden daardoor onbedoeld dezelfde rechten krijgen.
Volgens Bitcoin Core hadden duizenden bereikbare nodes deze combinatie ingesteld. Daardoor golden voor die verbindingen minder beperkingen tegen overbelasting en het lekken van informatie. Nodes zonder deze extra instelling waren niet kwetsbaar.
De derde fout maakte het mogelijk dat een kwaadwillende computer de verwerking van een nieuw blok met maximaal tien minuten vertraagde. Onder specifieke omstandigheden kon de aanval worden herhaald.
De drie meldingen beschrijven geen diefstal van bitcoin en geen fout in de regels waarmee het netwerk geldige munten bepaalt. Ze laten wel zien waarom beheerders actuele software moeten gebruiken. Eind oktober werd al een ander Bitcoin Core-lek bekendgemaakt dat bepaalde nodes kon laten vastlopen.