Những điểm chính
- Bitcoin Core tuần này đã tiết lộ ba lỗ hổng từng được khắc phục, trong đó có một lỗ hổng có thể làm gián đoạn hoạt động khai thác.
- Lỗi nghiêm trọng nhất có thể ngăn các node bị ảnh hưởng tạo ra mẫu khối hợp lệ sau khi blockchain trải qua tái tổ chức.
- Mặc dù thiết lập mặc định không bị ảnh hưởng, hàng nghìn node có thể gặp rủi ro do cấu hình Tor tiềm tàng bị lỗi.
Lỗ hổng quan trọng nhất được xác định là CVE-2025-62861, ảnh hưởng đến các phiên bản Bitcoin Core từ 28.0 đến 28.2 và từ 29.0 đến 29.1. Lỗi này được phân loại là mức độ nghiêm trọng cao, liên quan đến xử lý giao dịch trong quá trình tái tổ chức blockchain, có thể khiến các node khai thác không thể tạo khuôn mẫu khối hợp lệ.
Trọng tâm của vấn đề liên quan đến giao dịch phiên bản 3, thường gọi là giao dịch TRUC, vốn hoạt động dưới giới hạn riêng về mempool. Trong khi chuỗi bị tái tổ chức, Bitcoin Core có thể loại bỏ nhầm giao dịch nhưng lại giữ các giao dịch phụ thuộc, dẫn đến sự không nhất quán trong pool giao dịch.
Đối với thợ đào, hậu quả đặc biệt nghiêm trọng hơn. Các node bị ảnh hưởng có thể khiến quá trình xác minh mẫu khối không thành công, làm ngăn cản việc tạo ra công việc khai thác mới cho tới khi khởi động lại. Máy khai thác có thể tiếp tục băm các mẫu cũ, dẫn tới bỏ lỡ phí giao dịch và giảm hiệu quả vận hành.
Nhà nghiên cứu bảo mật Niklas Goegge đã báo cáo lỗ hổng này vào ngày 26 tháng 9 năm 2025. Nhà phát triển Greg Sanders sau đó đã đề xuất bản vá và được hợp nhất vào ngày 2 tháng 10, ngăn việc loại bỏ giao dịch có vấn đề khi tái tổ chức chuỗi.
Bản sửa chữa này xuất hiện trong các phiên bản Bitcoin Core 30.0, 29.2 và 28.3, kéo dài đến tháng 10 năm 2025. Tuy nhiên, vào thời điểm tiết lộ, khoảng 9% node có thể truy cập vẫn còn sử dụng phiên bản bị ảnh hưởng.
Lỗ hổng thứ hai CVE-2025-62859 được đánh giá mức độ nghiêm trọng vừa, liên quan tới các khối compact được xây dựng ác ý. Kẻ tấn công có thể lợi dụng cơ chế xử lý thiếu chính xác với giao dịch sửa đổi thuộc witness, liên tục trì hoãn quá trình tải về khối. Trong điều kiện mạng cụ thể, bao gồm kết nối ngang cấp băng thông cao bị xâm phạm, sự cố này có thể kéo dài vô thời hạn.
Nhà nghiên cứu Eugene Siegel đã xác định điểm yếu này vào tháng 4 năm 2025. Gregory Sanders đã phát triển bản vá và nó đã xuất hiện trên Bitcoin Core 30.0 và 29.2.
Trong khi đó, CVE-2025-62860 làm lộ ra một vấn đề hoàn toàn khác, liên quan đến kết nối Tor inbound và quyền đặc biệt của peer đáng tin cậy. Khi nhà vận hành cấu hình tuỳ chọn -whitelist cho Bitcoin Core bao gồm địa chỉ Tor daemon của họ, các kết nối đầu vào có thể thừa hưởng nhầm các đặc quyền chỉ dành cho peer tin cậy.
Những ngoại lệ này làm suy yếu một số biện pháp bảo vệ chống tấn công từ chối dịch vụ cùng các cơ chế bảo vệ quyền riêng tư. Theo Bitcoin Core, hàng nghìn node mainnet có thể bị ảnh hưởng, mặc dù cấu hình mặc định vẫn an toàn.
Thông báo vào ngày 10/11 tuân thủ đúng kế hoạch tiết lộ của Bitcoin Core. Các nhà phát triển đã giữ kín thông tin kỹ thuật chi tiết cho đến khi phiên bản phát hành chính dễ bị tổn thương cuối cùng của nhánh 29.x hết vòng đời (27/10/2026). Khác với ba tiết lộ lỗ hổng liên quan AI được công bố ngày 28/10, các vấn đề này đi theo quy trình truyền thống.
Quan trọng là, toàn bộ các lỗ hổng này đều không cho phép chiếm đoạt Bitcoin, không tạo coin trái phép hay dẫn đến đứt gãy đồng thuận, cũng không có trường hợp nào bị khai thác ghi nhận được. Lỗ hổng khai thác chỉ có thể xảy ra trong điều kiện tái tổ chức đặc biệt, nghĩa là tác động chỉ giới hạn với nhà vận hành bị ảnh hưởng chứ không đụng chạm tới bản thân Bitcoin.
Đối với thợ đào Bitcoin và quản trị viên node, sự khác biệt này rất quan trọng. Dù lỗ hổng không gây nguy hiểm cho tài sản, việc bảo trì phần mềm vẫn vô cùng thiết yếu. Sự kiện này chứng minh rằng những lỗi giao dịch thoạt nhìn nhỏ bé vẫn có thể gây ra hậu quả vận hành thực tế dù không ảnh hưởng đến cơ chế đồng thuận nền tảng của mạng lưới.
