Am 10. November 2025 legte Bitcoin Core eine Konfigurationsschwachstelle mit der Kennung CVE-2025-62860 offen. Tausende erreichbare Bitcoin-Mainnet-Knotenpunkte waren betroffen, wobei eingehende Tor-Verbindungen als vertrauenswürdige Peers behandelt wurden.
Die Schwachstelle führte dazu, dass anonyme Fremde Ausnahmen von Denial-of-Service-Limits und Schutzmaßnahmen gegen Privatsphärenlecks erhielten. Es gab jedoch zu keinem Zeitpunkt Wallet-Zugriffe oder Münzdiebstähle durch diesen Fehler.
Martin Zumsande und Antoine Poinsot meldeten das Problem im September 2025, woraufhin der entsprechende Patch am 17. September 2025 zusammengeführt wurde.
Ursache war, dass bei eingehenden Tor-Verbindungen die IP-Adresse des Tor-Daemons anstelle der tatsächlichen Netzwerkadresse des Remote-Peers gesehen wurde. Wenn ein nicht standardmäßiger Whitelist-Eintrag diese IP abdeckte, trat das Problem auf.
Pop-Kundensoftware und beliebte Anbieter bündelten die Knotensoftware zusammen mit Tor und einem passenden Whitelist-Bereich. Dadurch setzten Tausende Knoten jede eingehende Tor-Verbindung auf die Whitelist.
Behoben wurde das Problem im Oktober 2025 durch die Veröffentlichung der Versionen Bitcoin Core 30.0, 29.2 und 28.3. Der Patch verhindert generell, dass adressbasierte Whitelist-Berechtigungen auf eingehende Onion-Verbindungen angewendet werden.
Knotenbetreiber werden aufgefordert, ihre Konfigurationen zu überprüfen und auf eine gepflegte Version zu wechseln. Versionen 28.x und 29.x haben das Ende ihres Lebenszyklus erreicht, weshalb die neueste Wartungsversion empfohlen wird.
