Gli sviluppatori di Bitcoin Core hanno reso noto un bug ad alta gravità che poteva impedire ai nodi colpiti di costruire nuovi blocchi. Il difetto si è manifestato durante le reorganizzazioni della blockchain, corrompendo la mempool del nodo.
Fortunatamente, gli sviluppatori hanno risolto il problema oltre un anno fa, ma i nodi più vecchi potrebbero essere ancora a rischio.
Come una chain reorg potrebbe compromettere la creazione dei blocchi di Bitcoin
Un block template è il blocco candidato che un nodo prepara affinché i miner possano lavorarci sopra. Senza di esso, un nodo di mining non può produrre nuovi blocchi.
Il 10 novembre, Bitcoin Core ha pubblicato l’avviso relativo a CVE-2025-62861. Ecco i dettagli principali:
- Versioni interessate: Bitcoin Core dalla 28.0 alla 28.2 e dalla 29.0 alla 29.1.
- Causa principale: Una regola chiamata sibling eviction non ha funzionato correttamente durante le reorganizzazioni della blockchain.
- Problema: I nodi potevano eliminare una transazione ripristinata ma mantenere le sue discendenti.
- Conseguenza: Le transazioni residue spendevano fondi che non esistevano più.
Il problema riguardava le transazioni TRUC, una tipologia più recente che consente un solo figlio non confermato. Con la sibling eviction, introdotta dalla versione 28.0, un secondo figlio che paga commissioni più alte può sostituire il primo.
Tuttavia, questa logica non ha funzionato quando i nodi ripristinavano transazioni da blocchi disconnessi. In parole semplici, il nodo costruiva il blocco successivo su fondamenta danneggiate.
Chi era a rischio a causa del bug di Bitcoin Core?
Principalmente, miner e operatori di mining pool che utilizzavano versioni vulnerabili. Una volta che la mempool diventava incoerente, la creazione del block template non superava il controllo di validità.
Di conseguenza, il nodo interessato non poteva più produrre blocchi. L’unica soluzione era il riavvio, che obbligava il nodo a ricostruire da zero la sua mempool.
Il ricercatore di sicurezza Niklas Goegge ha segnalato il difetto in modo responsabile il 26 settembre 2025. Poco dopo, lo sviluppatore Greg Sanders ha presentato la correzione.
Le versioni aggiornate sono state poi rilasciate nell’ottobre 2025 con le versioni 30.0, 29.2 e 28.3. Bitcoin Core ha pubblicato i dettagli solo dopo che l’ultima versione vulnerabile 29.x è giunta a fine vita. Questo è il motivo per cui di solito gli sviluppatori ritardano la pubblicazione dei dettagli finché la maggior parte dei nodi non è stata aggiornata.
In particolare, lo stesso lotto di comunicazione ha incluso altri due bug risolti nella versione 30.0. Uno poteva bloccare l’elaborazione dei blocchi, mentre un altro assegnava erroneamente autorizzazioni alle connessioni Tor in ingresso. Questa divulgazione fa seguito anche a un lotto di ottobre relativo ad altri tre bug rilevati da uno scanner AI chiamato Project Loupe.
Pertanto, chi utilizza ancora le versioni dalla 28.0 alla 29.1 dovrebbe aggiornare immediatamente. Riavviare un nodo interessato inoltre ripristina una mempool pulita.
