Bitcoin (BTC) Core, Blok Üretimini Durdurabilen CVE-2025-62861 Açığını Açıkladı

Bitcoin Core CVE-2025-62861 açıklamasını yayımladı

Bitcoin (BTC) Core geliştiricileri, 10 Kasım'da yüksek şiddetli bir güvenlik açığı olan CVE-2025-62861'i duyurdu. Açığa yakalanan düğümler (node) yeni bloklar üretme kabiliyetini kaybedebiliyordu. Danışma belgesine göre hata, ağın yeni eklediği blokları değiştirdiği zincir yeniden organizasyonları (chain reorganization) sırasında ortaya çıkıyor ve onaylanmamış işlemlerin bekleme alanı olan mempool'u bozuyor. Bitcoin Core'un 28.0'dan 28.2'ye ve 29.0'dan 29.1'e kadar olan sürümleri etkilendi. Proje sorunu yüksek şiddetle etiketledi, çünkü kusur doğrudan coin'leri tehdit etmiyor, etkilenen yazılımda blok üretimini durduruyor. Bitcoin (BTC) ağının konsensüs kuralları hiçbir an riske girmedi; hata, savunmasız düğümün kendi işlem havuzunu yönetim biçimindeydi.

Sorunun merkezinde, 28.0 sürümüyle gelen sibling eviction (kardeş tahliyesi) adlı kural var. Bu kural, her işlemin yalnızca bir onaylanmamış çocuğa izin veren TRUC işlemlerini (Topologically Restricted Until Confirmation) düzenliyor. Kurala göre daha yüksek ücret ödeyen ikinci bir çocuk işlem ilkiyle değiştirilebiliyor, böylece gönderen bayat bir ödemeyi geçebiliyor. Mantık, düğümler yeniden organizasyon sırasında kopan bloklardan işlemleri geri yüklediğinde ters çalıştı: bir düğüm geri getirilen işlemi düşürüp onun torunlarını tutabiliyor, geride var olmayan fonları harcayan yetim çocuk işlemler kalıyordu.

Blok şablonu, madencilerin çalışacağı aday bloktur. Mempool tutarsız hale geldiğinde şablon oluşturma geçerlilik kontrolünü geçemiyor ve düğüm hiç blok üretemiyor. Etkilenen düğümler kendi güvenlik kontrolleriyle kendilerini durdurdu, bu yüzden açık geçersiz bloklar yerine tam bir durmaya yol açtı. Tek çare yeniden başlatmaktı; bu da düğümü mempool'u sıfırdan kurmaya zorluyor. Darbe ağırlıklı olarak, şablonları oluşturmak için tam düğüm çalıştıran kripto madenciliği katılımcılarına, yani madencilere ve havuz işletmecilerine gitti. Bir madencilik işletmesi için bu durma, yazılım yamalanana ya da yeniden başlatılana kadar boşta kalan işlem gücü demek.

Bitcoin (BTC) Core Projesi'nin 10 Kasım tarihli X açıklaması

Yama Ekim 2025'te yayımlandı

Güvenlik araştırmacısı Niklas Goegge açığı 26 Eylül 2025 Cuma günü sorumlu biçimde bildirdi; böylece detaylar kamuya açıklanmadan önce geliştiricilerin eline bir yıldan fazla süre geçti. Geliştirici Greg Sanders yamayı 33504 numaralı pull request ile sundu. Yamalı sürümler Ekim 2025'te 30.0, 29.2 ve 28.3 olarak geldi; projenin açıklama gönderisi, düzeltmenin Bitcoin Core v30.0'a 10 Ekim 2025 Cuma günü girdiğini belirtiyor. 30.0 ve iki yamalı geri taşınma sürümünü kullanan düğümler etkilenmiyor. Danışma belgesi, 29.x serisinin ömrünü tamamlamış son savunmasız sürümün desteği bittikten sonra, 10 Kasım'da yayımlandı. Bu gecikme, çoğu düğümün yükseltmesini tamamlamasına izin veren koordineli açıklama pratiğinin bir parçası.

Aynı açıklama paketi, 30.0 sürümünde giderilen iki açık daha taşıyordu. Biri blok işlemeyi tamamen durdurabiliyordu; diğeri, almaması gereken izinleri gelen Tor bağlantılarına veriyordu. Kasım açıklaması ayrıca, Project Loupe adlı yapay zekâ destekli bir tarayıcının işaretlediği üç açıklık taşıyan Ekim paketini izliyor. Yaklaşık altı hafta içinde iki paket ve toplam altı açık, projenin güvenlik incelemecileri için yoğun bir dönem.

28.0'dan 29.1'e kadar herhangi bir sürümü çalıştıran işletmecilerin derhal yükseltmesi gerekiyor; etkilenen bir düğümü yeniden başlatmak bu arada temiz bir mempool getiriyor. Taze bir kurulum planlayanlar için Bitcoin düğümü kurma rehberimiz adımları tek tek anlatıyor. Çekirdek tarafındaki çalışma yamaların ötesinde sürüyor: yakın zamanda tartışılan OP_CCV pull request'i taban katmanda durumlara bağlı sözleşmeleri hedefliyor ve COINOTAG'ın Bitcoin haberleri sayfası bu hattı gelişimini izliyor.

Pratikte tablo, şiddet etiketinin ima ettiğinden dar. Danışma belgesi kendi kendine oluşan bir arıza modunu tanımlıyor, gözlenmiş bir saldırıyı değil: açıklamada hiçbir yerde bir saldırganın mempool bozulmasını tetiklediği iddia edilmiyor ve zincir bölünmesi ya da çalınan fon bildirilmiyor. Savunulabilir okuma operasyonel. Bayat yazılımdaki madencilik havuzları kesinti ile karşı karşıya; maliyet kayıp coin yerine kaçan blok ödülüdür ve açıklama, etkilenen sürümleri hâlâ çalıştıran düğüm sayısına dair bir tahmin vermiyor. Bitcoin fiyatı buradan doğrudan etkilenmedi; konsensüs kuralları baştan sona sağlam kaldı. Danışma belgesinin ortaya koymadığı şey, kalıcı riskin somutlaşması için belirleyici olan maruz kalan düğüm filosunun büyüklüğü.