يتواصل بحث استخدام TCP hole punching لإتاحة اتصال عقد المنازل الواقعة خلف الموجّهات، مع استئناف العمل على مواصفة وتنفيذ تجريبي في Bitcoin Core. كما طُرح مسودّة BIP لتوحيد سياسات الإنفاق التي يفرضها الموقّعون المشاركون عند محاكاة covenants.
ضيوف مراجعة العدد #429 هم Greg Sanders وAntoine Poinsot وElias Rohrer وOleksandr Kurbatov وNishant Bansal، وتبدأ الحلقة مع مقدّمي Optech بالتغييرات #36665 و#36667 و#36669 في Bitcoin Core قبل الانتقال إلى سياسة الأمان المحدّثة. ثم تأتي المدفوعات الصامتة متعددة الأطراف، والكشف عن ثغرة حجب خدمة في Core Lightning، وEclair 0.14.6. أما النص المكتوب للحلقة فلم يُنشر بعد.
إعلان قناة يذكر العقدة نفسها في طرفيه كان كافيًا لإسقاط Core Lightning من 25.02 حتى 26.04 عند كل إعادة تشغيل، ولا يكلّف المهاجم سوى رسوم المعاملات على السلسلة، وجاء الإصلاح في 26.04.1. ويقرن العدد #429 هذا الكشف ببروتوكول Oleksandr Kurbatov لمدخلات المدفوعات الصامتة متعددة الأطراف، وبالإصدارات التصحيحية الأسرع في Bitcoin Core للأخطاء التي يسهل اكتشافها.
بادّعاء عدم دعم رسائل ping وفق BIP 31، كان بوسع نظير خبيث الإفلات من قطع الاتصال بعد 20 دقيقة والقراءة ببطء، فتتضخم قائمة إرسال العقدة بما يصل إلى 2MB في الساعة لكل نظير وارد و5MB لكل نظير صادر. أُغلقت الثغرة CVE-2026-117349، المصنفة متوسطة الخطورة، عبر #36667 في Bitcoin Core 32.1 و31.2 و30.4 و29.5، وكانت عقد -blocksonly أقل تعرضًا بكثير.
وحّد Bitcoin Core 29.5 مراقبة استثناءات المقابس بين poll() وselect() (#36665)، وفرض مهلة زمنية على النظراء الذين توقف الإرسال إليهم مؤقتًا (#36667). وانتقلت مواقع flatfile إلى أعداد صحيحة بطول 64 بت (#36669)، وباتت العقد تفترض دعم v2transport في العناوين الآتية من البذور، مع حذف إحدى بذور DNS.
بإمكان مُعدِّن أن يدفع ملف undo في Bitcoin Core إلى ما يتجاوز 4 GiB، فتلتف مواقعه ذات 32 بت وتتلف البيانات، وتتوقف العقد إذا تلت ذلك إعادة تنظيم مناسبة للسلسلة؛ أما Windows والأنظمة ذات 32 بت فتتعطل عند 2 GiB دون أي إعادة تنظيم. صُنفت CVE-2026-117346 منخفضة الخطورة، ويتطلب استغلالها نحو شهر من كتل الشبكة كلها. تعالج الإصدارات 32.1 و31.2 و30.4 و29.5 أنظمة 64 بت، بينما تبقى عقد 32 بت وتخزين الكتل على FAT32 عرضة للخلل.
كان بوسع نظير متصل إسقاط العقد العاملة على Windows وmacOS وBSD بإرسال بيانات TCP عاجلة، إذ تتسلل عبر القراءات المتوقفة في واجهة select() وتتراكم في الذاكرة بلا حد (CVE-2026-117350). عقد Linux بمنأى عن الخلل لأنها تستخدم poll(). وتعالج الإصدارات 32.1 و31.2 و30.4 و29.5 من Bitcoin Core هذه الثغرة متوسطة الخطورة، التي كشفها فحص بنموذج لغوي كبير ضمن Project Loupe.
لم يعد Bitcoin Core 30.4 يعامل البتات من 5 إلى 28 في BIP 9 كإشارات انقسام ناعم، تطبيقًا لـ BIP 323، فلا تثير الكتل التي تضبطها تحذيرات النشر المجهول بعد الآن (#34779). وعلى صعيد الشبكة، فُرضت مهلة زمنية على النظراء الذين توقف الإرسال إليهم مؤقتًا (#36667)، فيما صارت مواقع flatfile تعتمد أعدادًا صحيحة بطول 64 بت (#36669).
سقف جديد للبث الخاص في Bitcoin Core 31.2: طابور المعاملات التي لم يرجع صداها من الشبكة بعد يتوقف عند 10,000 عنصر ويرفض أي إرسال جديد عند امتلائه، وعلى الجهة المستدعية تفريغه عبر abortprivatebroadcast (#35406). كما لم تعد بتات الإصدار من 5 إلى 28 تُحتسب إشارات انقسام ناعم، التزامًا بـ BIP 323.
لم يعد البث الخاص في Bitcoin Core 32.1 يهدد بكشف عنوان IP للمرسل، وهو تسريب قد يقع حين يفشل اتصال v2 فتُعاد المحاولة عبر v1 مباشرة بدل المرور بـ Tor. وارتفعت القيمة الافتراضية لـ -maxconnections من 125 إلى 200، وصار تقييد معدل ترحيل المعاملات الصادرة يعتمد على طابور عام بدل كل نظير على حدة.