Ранее они могли скрывать уязвимости среднего уровня серьезности до года, чтобы операторы успели обновить ПО. Однако 22 октября 2026 года проект изменил политику для ошибок, которые можно быстро выявить с помощью LLM: теперь их детали публикуют вместе с исправлениями, как только те становятся доступными для всех поддерживаемых основных версий.
Все три уязвимости выявил автоматизированный анализатор в рамках Project Loupe, который разрабатывает Элиас Рорер в компании Spiral. Перед передачей команде безопасности Bitcoin Core результаты проверил разработчик Грегори Сандерс.
Какие уязвимости нашел ИИ
Первая ошибка, о которой сообщили 23 октября, касалась обработки срочных TCP-данных в системах, отличных от Linux. Злоумышленник, подключенный к узлу, мог отправлять специальные данные, обходить ограничения на объем очереди сообщений и вызывать неограниченный рост использования памяти. В результате узел мог аварийно завершить работу.
Уязвимость получила средний уровень серьезности. Linux-узлы не пострадали, поскольку используют другой механизм мониторинга сетевых соединений.
Вторая ошибка также приводила к неконтролируемому накоплению данных в памяти. Подключенный узел мог заявлять, что использует устаревшую версию протокола, и задерживать обработку сообщений.
По данным официального сообщения Bitcoin Core, объем памяти мог увеличиваться на:
- до 2 МБ в час для каждого входящего соединения;
- до 5 МБ в час для каждого исходящего соединения.
Эту ошибку сканер обнаружил 15 сентября, а 21 сентября ее независимо нашел другой разработчик.
Третья уязвимость, классифицированная как низкого уровня серьезности, касалась файлов с данными, необходимыми для реорганизации блокчейна. Майнеры могли создавать блоки, из-за которых происходило переполнение файлов отмены изменений (undo-файлов). Если после этого происходила соответствующая реорганизация, некоторые узлы могли аварийно отключаться.
На 64-битных системах эксплуатация требовала значительных ресурсов: по оценке разработчиков, подготовка могла занять примерно месяц добычи блоков всей сетью. На Windows и 32-битных системах сбой мог возникать без такой реорганизации. В официальном сообщении подчеркнули, что перезапуск не помогает.
Исправление не устраняет проблему полностью для узлов на 32-битных системах и тех, которые хранят блоки на старых дисках с файловой системой FAT32. В других случаях ошибку исправили, в частности, благодаря переходу на 64-битные целые числа для хранения позиций в файлах.
Разработчики изменили правила раскрытия уязвимостей
Исправления трех ошибок вошли в версии Bitcoin Core 29.5, 30.4, 31.2 и 32.1. Релизы 31.2 и 32.1 стали доступными 27 октября, а версии 29.5 и 30.4 — 28 октября. Детали уязвимостей опубликовали в тот же день.
Согласно новой политике, если ошибку классифицируют как такую, которую легко обнаружить, разработчики должны как можно быстрее выпустить исправление для каждой поддерживаемой основной версии и опубликовать сообщение о безопасности, не дожидаясь завершения стандартного периода эмбарго.
Для других уязвимостей действуют обычные сроки раскрытия: информацию об ошибках низкого уровня серьезности публикуют через две недели после релиза основной версии с исправлением, а об ошибках среднего и высокого уровней — через две недели после завершения жизненного цикла последнего уязвимого релиза.
В примечаниях к выпуску Bitcoin Core также сообщили, что еще три уязвимости среднего и высокого уровней серьезности, исправленные в версии 30.0, планируют раскрыть через две недели.
Напомним, что ранее ИИ нашел тысячи уязвимостей в Firefox, а Google исправила десятки уязвимостей, поскольку ИИ-модель Claude научилась взламывать Chrome.
incrypted.com
