Bitcoin Coreは、数千のノードがTor上の不特定多数を信頼してしまうバグを発見しました

Tor を通じて接続する見知らぬ人々は、ソフトウェアがそれらを信頼されたコンピュータとして扱ったため、数千のビットコインノードにおけるスパムおよびプライバシー保護を回避できる可能性があります。

ビットコインコアがを発表しました正式なセキュリティアドバイザリー火曜日に、修正をリリースしてから約13か月が経過した後に行われました。コードの変更は2025年9月からGitHub上で公開されており、そのタイトルには受信Tor接続にはホワイトリストの権限を適用すべきではないと明示されていました。

この欠陥は、開発者が火曜日に開示した3件のうちの1つであり、すべて昨年10月にリリースされた修正プログラムで対処されています。別の欠陥は、マイニングノードがオペレーターの再起動までブロックを構築できなくなる可能性がありました。

外部からの訪問者が信頼されるようになった経緯

ノードとは、ビットコイン取引を検証および中継し、ブロックチェーンの独自のコピーを保持するコンピュータのことです。通常、接続されたコンピュータが送信できるトラフィック量を制限し、過負荷攻撃から自身を保護します。

Bitcoin Coreのホワイトリスト設定は、オペレーターが信頼する接続、たとえばローカルネットワーク上の他のコンピューターに対する制限の一部を緩和します。

問題は、プロバイダーが Bitcoin Core を Tor（インターネットアドレスを隠すサービス）とバンドルした際に発生しました。着信する Tor 接続は、ローカルの Tor ソフトウェアから来ているように見えました。そのソフトウェアのアドレスが信頼された範囲内にあった場合、外部の訪問者もその権限を継承してしまいました。

この取り決めにより、「数千の到達可能なメインネットノードがすべての受信Tor接続をホワイトリストに登録する」状況が生じたと、アドバイザリーは述べています。

Martin Zumsande氏とAntoine Poinsot氏は2025年9月にこの問題を報告しました。コアチームはこの問題の重大度を中程度と評価しました。ホワイトリスト設定を一度も有効にしていないノードには影響はありませんでした。

その重大度の高いバグ ノードが競合するブロックチェーンのバージョンをどのように処理するかに関与しています。

ネットワークがあるバージョンを放棄すると、その廃棄されたブロックからの取引は、mempoolとして知られる保留中の支払いリストに戻ることがあります。

Bitcoin Core 28.0で導入されたルールは、復元された取引のうちの1つを削除する可能性があり、その取引に依存していた取引は残ることになります。これにより、ノードは入力が欠落した支払いを含むブロックを構築しようとし、その結果、ノード自身の有効性チェックによってそれらが拒否される事態が発生します。

影響を受けたマイニングノードは、再起動されるまで有効なブロックテンプレートを作成できなくなりました。ニクラス・ゲッゲ氏は2025年9月26日にこの欠陥を報告しました。アドバイザリーには攻撃の報告は記載されていません。

そのサードバグ、中程度の評価で、悪意のある接続によりノードの新しいブロック処理が10分間停止される可能性があります。ファストブロックリレー用に選択された3つの接続を全て攻撃者が制御した場合、この妨害を無期限に繰り返すことが可能です。アドバイザリーでは、繰り返しの停止を引き起こす別の経路として、ブロックを処理する設定についても指摘しています。

ポワノは2025年9月19日にトールの問題について影響を受けるソフトウェア提供者に個別に警告しました。火曜日のアドバイザリーでは彼らの名前は明らかにされていません。

アドバイザリーが1年遅れて発表された理由

Coreは通常、最後の影響を受けたリリースのサポート終了後2週間で、中～高深刻度の脆弱性の詳細を公開します。この遅延により、オペレーターは詳細な説明が利用可能になる前に修正をインストールする時間が確保されます。

最後に影響を受けたリリースシリーズである29.xは、10月27日にそのポイントに達しました。火曜日はそれからちょうど2週間後でした。

CoinDeskが以前報じたように、開発者たち10月にポリシーを変更しました 単純なAIモデルへのプロンプトを通じて簡単に再発見できる欠陥を含む脆弱性について精査しています。これらは可能な限り速やかに修正パッチのリリースとセキュリティアドバイザリの発行を受けます。火曜日の開示は、より長いスケジュールに沿ったものでした。

*続きを読む：* *AIの発展によりコードのバグ発見が格段に容易になる中、Bitcoin Coreはセキュリティルールを変更*