Что сообщил Bitcoin Core
Команда Bitcoin Core 10 ноября 2026 года опубликовала раскрытие CVE-2025-62860 и присвоила проблеме средний уровень серьёзности. Описанный сценарий связан с тем, как узел обрабатывал входящие Tor-соединения и настройки -whitelist. При определённом совпадении адреса Tor-прокси с настроенным диапазоном входящий Tor-пир мог получить разрешения, которые оператор узла назначил через whitelist. Это затрагивало не стандартную конфигурацию по умолчанию, а узлы с нестандартно заданным whitelist и соответствующим маршрутом Tor.
Какие версии содержат исправление
В объявлении перечислены исправленные версии Bitcoin Core 28.3, 29.2 и 30.0. Операторам стоит сверить работающую версию узла и конфигурацию, затем перейти на соответствующий поддерживаемый выпуск по обычному процессу обновления. Обновление стоит выполнять по официальным инструкциям проекта и с проверкой целостности релиза. Одного просмотра версии недостаточно, если сборка модифицирована или запускается через стороннюю обёртку.
Кого касается проблема и что делать оператору
Если узел использует Tor, но не задаёт нестандартные whitelist-диапазоны, раскрытие не указывает на универсальное воздействие на всех таких пользователей. Оператору нужно проверить точные параметры -whitelist и -proxy, сопоставить их с описанным условием и применить исправленную версию. Не следует автоматически отключать Tor или менять сетевую архитектуру только из-за заголовка CVE: важна конкретная конфигурация. При сомнении используйте рекомендации команды проекта и оцените собственный файл настроек.
Почему whitelist важен
Whitelist в узле позволяет назначать особые сетевые разрешения соединениям, соответствующим заданной политике. Ошибка в определении того, к какому адресу относится входящий peer, способна смешать идентичность прокси и удалённого участника. В данном случае риск состоял не в краже пользовательских ключей через кошелёк, а в неправильном применении сетевых разрешений к пиру. Поэтому новость прежде всего относится к операторам Bitcoin Core, которые самостоятельно обслуживают узлы и настраивают приватные или доверенные сетевые соединения.
Как обновляться без поспешных действий
Перед обновлением сохраните сведения о текущей версии и конфигурации, скачайте релиз из официального канала и следуйте процедуре конкретной платформы. Не публикуйте файл конфигурации целиком: в нём могут находиться данные, раскрывающие структуру вашей инфраструктуры. После обновления проверьте, что служба запущена, узел синхронизируется и параметры применились. Обычным держателям BTC, которые не запускают Bitcoin Core, не требуется перемещать средства или раскрывать seed-фразу из-за этой уязвимости.
Контекст раскрытия
Номер CVE содержит 2025 год, хотя публичное раскрытие состоялось в ноябре 2026 года. Дата CVE сама по себе не сообщает, когда каждый оператор узнал о дефекте и как долго он существовал. Основой этой заметки служит опубликованное раскрытие Bitcoin Core; не следует расширять его до неподтверждённых выводов о массовой эксплуатации или потерях средств. Для операторов практический вывод конкретен: выяснить, затрагивает ли их сочетание Tor и whitelist, и использовать исправленный релиз.
Операторам полезно рассматривать обновление как часть регулярного обслуживания, а не как реакцию только на громкие сообщения о краже средств. Узел может работать без графического интерфейса и запускаться службой, контейнером или системным заданием, поэтому перед заменой бинарного файла выясните, какой процесс использует каталог данных и где хранится конфигурация. Сохраните резервную копию настроек, но не копируйте их в публичный тикет: параметры сетевого доступа могут раскрывать схему домашнего или корпоративного узла. Руководство по версиям и назначению разных типов нод поможет понять, как организован ваш экземпляр: архивный и полный узел Bitcoin.
Если вы управляете узлом ради собственной проверки транзакций, убедитесь после обновления, что он продолжает синхронизацию с ожидаемой сетью. Проверьте журнал запуска и активные сетевые соединения, затем подтвердите, что настроенные исключения и прокси по-прежнему работают как задумано. Пользователю, который только наблюдает за адресом через watch-only конфигурацию, важнее проверить резервные данные публичного ключа и способ восстановления просмотра, а не перемещать монеты. Материал о настройке Bitcoin watch-only по xpub объясняет отдельный сценарий наблюдения, не связанный с исправлением CVE.
Раскрытие уязвимости не является доказательством, что конкретный узел уже был атакован. Для оценки собственного случая сопоставьте версию, команды запуска, параметры whitelist и маршрут Tor с официальным описанием. Если конфигурация сложная, проверьте её на тестовой копии перед заменой в рабочей инфраструктуре и убедитесь, что после обновления сервис не остался запущенным со старым бинарным файлом. Не отключайте защитные сетевые настройки наугад: сначала определите, какую задачу выполняет каждый параметр и какое изменение рекомендовано сопровождающими Bitcoin Core.
Пользователям, которые не обслуживают собственный узел, следует продолжать обычные меры защиты кошелька. Не вводите seed-фразу в сайт, который обещает проверить уязвимость, и не устанавливайте «срочный патч» из сообщения в соцсетях. Bitcoin Core не требует от владельца монет отправлять BTC для исправления сетевого программного обеспечения. Если вы используете узел для самостоятельной проверки платежей, понимание разницы между полной валидацией и внешним наблюдением поможет выбрать подходящую конфигурацию. Для облегчённого клиентского сценария см. материал о light client в блокчейне.
