Allvarlig bugg i Bitcoin Core
Bitcoin Core-utvecklare har avslöjat en allvarlig bugg som kan tillåta gruvarbetare att på distans krascha vissa Bitcoin-noder. Problemet, som identifierades som CVE-2024-52911, påverkar Bitcoin Core-versioner från 0.14.0 till 28.x. Buggen åtgärdades i Bitcoin Core version 29.0, som släpptes i april 2025. Den 5 maj 2026 offentliggjorde Bitcoin Core problemet, efter att den sista sårbara 28.x-versionen nått slutet av sin livscykel den 19 april.
Problemets natur
Problemet involverade Bitcoin Cores skript-tolk under blockvalidering. Enligt Bitcoin Core skulle ett särskilt utformat block kunna få en nod att komma åt minne som redan hade frigjorts. Under valideringsprocessen förbereder Bitcoin Core transaktionsinmatningsdata och skickar skriptkontroller till bakgrundstrådar. I vissa fall skulle ett ogiltigt block kunna förstöra cachad data medan en annan tråd fortfarande försöker läsa den. Detta skulle kunna tillåta en angripare med tillräcklig proof-of-work att krascha offer-noder. Det nämndes också att ”det är möjligt” att kraschen skulle kunna stödja fjärrkodexekvering, även om begränsningar på blockdata gjorde detta utfall ”osannolikt”.
Svårigheter med attacken
Attacken var dock inte enkel att genomföra. En gruvarbetare skulle behöva producera ett särskilt utformat block med tillräcklig proof-of-work för att nå kedjans topp. Detta gjorde attacken kostsam, eftersom ett sådant block skulle vara ogiltigt och inte kunna generera en normal blockbelöning. Därmed skulle angriparen behöva spendera hashkraft utan att få den vanliga gruvutbetalningen. Bitcoin Core har inte rapporterat att buggen har använts i verkliga attacker.
Tidslinje och åtgärder
Rådgivningen fokuserade på felet, åtgärden och tidslinjen för offentliggörande. Buggen förändrade inte Bitcoins konsensusregler; den var kopplad till minneshantering i Bitcoin Core-programvaran, inte reglerna som definierar giltiga Bitcoin-transaktioner eller block.
Cory Fields från MIT Digital Currency Initiative rapporterade buggen privat den 2 november 2024. Bitcoin Core uppgav att rapporten inkluderade ett konceptbevis och ett föreslaget sätt att minska risken. Pieter Wuille genomförde en hemlig åtgärd fyra dagar senare genom PR 31112. Pull-begäran slogs samman den 3 december 2024, innan Bitcoin Core 29.0 släpptes med åtgärden i april 2025.
Offentliggörande och säkerhetsrisker
Rådgivningen följde Bitcoin Cores offentliggörandepolicy för allvarliga buggar, som stipulerar att högallvarliga problem offentliggörs efter att den sista påverkade versionen når slutet av livscykeln. Dessutom står nodoperatörer som använder Bitcoin Core-versioner före 29.0 fortfarande inför den gamla buggen. Bitcoin Core uppdateras inte automatiskt, så användare måste manuellt installera nyare versioner.
En tidigare rapport om decentraliseringsrisker i blockchain nämnde forskning som visade att 21 % av Bitcoin-noder körde föråldrad Bitcoin Core-programvara i juni 2021. Denna kontext visar varför äldre klientversioner kan förbli en säkerhetsrisk långt efter att åtgärder har släppts.
