Bitcoin Core legt Lücke offen, die Mining-Knoten blockieren konnte

Die Entwickler von Bitcoin Core haben am Dienstag drei weitere Sicherheitslücken offengelegt. Die schwerste, als hoch eingestuft, konnte einen Knoten nach einer Umordnung der Blockchain daran hindern, neue Blöcke zu bauen. Behoben sind alle drei seit Oktober 2025, wer ältere Versionen betreibt, ist weiter betroffen.

Bitcoin Core ist die Referenzsoftware für Knoten im Bitcoin-Netz, also für die Rechner, die Transaktionen und Blöcke prüfen und weitergeben. Ihre Entwickler veröffentlichen Details zu Lücken erst mit deutlichem Abstand zur Korrektur. So war es schon Ende Oktober bei drei Lücken aus einem KI-Scan; die neuen Fälle sind andere Fehler und stammen von anderen Findern.

Ein Reorg legte den Bau neuer Blöcke still

Die schwerste Lücke, CVE-2025-62861, hängt an TRUC-Transaktionen, einer seit 2024 eingeführten Transaktionsart mit engen Regeln dafür, wie viele unbestätigte Nachfolger sie haben darf (BIP 431). Kommt eine neue TRUC-Transaktion hinzu, darf der Knoten unter Umständen eine “Geschwister”-Transaktion aus seinem Speicher für Wartende verdrängen.

Genau diese Verdrängung griff auch bei einem Reorg, wenn also ein Teil der Kette durch einen längeren ersetzt wird und die Transaktionen der verworfenen Blöcke in den Wartespeicher zurückkehren. Die Folge beschreibt die Mitteilung knapp: “a node that performed such a reorg cannot produce blocks until it is restarted”. Ein solcher Knoten konnte also bis zu einem Neustart keine Blockvorlagen mehr erzeugen.

Treffen kann das vor allem Miner und Mining-Pools, die ihre Blockvorlagen von einem eigenen Knoten beziehen; ein gewöhnlicher Knoten, der nur Zahlungen prüft, baut keine Blöcke.

Betroffen waren die Versionen 28.0 bis 28.2 und 29.0 bis 29.1. Korrigiert ist der Fehler in 28.3 und 29.2 vom Oktober 2025, Version 30.0 war nie betroffen. Gemeldet hat ihn der Entwickler Niklas Gögge am 26. September 2025, die Korrektur schrieb Greg Sanders. Ob der Fehler je ausgenutzt wurde, steht nicht in der Mitteilung.

Zwei weitere Fehler betreffen Blockempfang und Tor

Beide stufen die Entwickler als mittelschwer ein. Bei CVE-2025-62859 konnte ein anderer Teilnehmer die Verarbeitung eines Blocks aufhalten, indem er die Signaturdaten in komprimiert übertragenen Blöcken veränderte. CVE-2025-62860 gab eingehenden Verbindungen über das Anonymisierungsnetz Tor Sonderrechte, die eigentlich nur ausgewählten Gegenstellen zustehen; das traf nur Knoten, die solche Freigaben eigens eingerichtet hatten.

Wer einen Knoten betreibt, prüft am einfachsten die Versionsnummer. Die Reihe 29 bekommt seit dem 27. Oktober 2026 keine Korrekturen mehr.