Pokračuje debata o TCP hole punchingu, který by umožnil dosažitelnost domácích uzlů za routery. Newsletter také popisuje návrh BIP na standardizaci pravidel utrácení, jež při emulaci covenantů vynucují spolupodepisovatelé.
Greg Sanders, Antoine Poinsot, Elias Rohrer, Oleksandr Kurbatov a Nishant Bansal přijali pozvání moderátorů Optechu do pořadu o čísle #429. Začíná se u změn Bitcoin Core #36665, #36667 a #36669, následuje aktualizovaná bezpečnostní politika. Na vícestranné silent payments, odhalenou DoS chybu v Core Lightning a Eclair 0.14.6 dojde později; přepis zatím chybí.
Stačilo oznámení kanálu se stejným uzlem na obou koncích a Core Lightning 25.02 až 26.04 padal při každém restartu; útočníka to stálo jen on-chain poplatky. Opravu přináší 26.04.1. Newsletter #429 k tomuto odhalení přidává protokol Oleksandra Kurbatova pro vícestranné vstupy silent payments a rychlejší opravná vydání Bitcoin Core u snadno odhalitelných chyb.
Škodlivý peer mohl předstírat, že nepodporuje pingy z BIP 31, vyhnout se tak odpojení po 20 minutách a číst jen pomalu. Fronta odesílání uzlu pak rostla až o 2 MB za hodinu u každého příchozího peera a o 5 MB u odchozího. CVE-2026-117349 se střední závažností opravuje #36667 v Bitcoin Core 32.1, 31.2, 30.4 a 29.5; uzly s -blocksonly byly ohroženy mnohem méně.
Monitorování výjimek na socketech se v Bitcoin Core 29.5 mezi poll() a select() sjednotilo (#36665) a na peery s pozastaveným odesíláním se vztahuje vynucený časový limit (#36667). Pozice ve flatfile souborech přecházejí na 64bitová celá čísla (#36669), u adres ze seedů uzly předpokládají v2transport a jeden DNS seed je pryč.
Těžař by mohl dostat undo soubor Bitcoin Core přes 4 GiB, 32bitové pozice by přetekly a data by se poškodila, takže se uzly při vhodné reorganizaci řetězce vypnou; na Windows a 32bitových systémech dochází k selhání už u 2 GiB a bez reorganizace. CVE-2026-117346 má nízkou závažnost a vyžádala by si zhruba měsíc všech bloků v síti. Verze 32.1, 31.2, 30.4 a 29.5 to řeší na 64bitových systémech; 32bitové uzly a úložiště bloků na FAT32 zůstávají zranitelné.
Uzly na Windows, macOS a BSD mohl shodit připojený peer, který posílal urgentní data TCP: v backendu select() proklouzla přes pozastavené čtení a paměť se plnila bez omezení (CVE-2026-117350). Linuxové uzly používají poll() a problém se jich netýká. Chybu se střední závažností, na kterou přišel LLM sken v rámci Project Loupe, opravují Bitcoin Core 32.1, 31.2, 30.4 a 29.5.
Bity 5 až 28 z BIP 9 už Bitcoin Core 30.4 nepovažuje za signál soft forku, jak stanoví BIP 323, takže bloky s těmito bity nespouštějí varování o neznámém nasazení (#34779). V síťové části přibyl vynucený časový limit pro peery s pozastaveným odesíláním (#36667), pozice ve flatfile souborech nově používají 64bitová celá čísla (#36669).
Soukromé vysílání dostalo v Bitcoin Core 31.2 strop: fronta transakcí, které se zatím nevrátily ze sítě, končí na 10 000 položkách a po naplnění odmítá další. Uvolnit ji musí volající pomocí abortprivatebroadcast (#35406). Bity verze 5 až 28 se podle BIP 323 už nepočítají jako signál soft forku.
IP adresa odesílatele je při soukromém vysílání v Bitcoin Core 32.1 v bezpečí: k úniku mohlo dojít, když se po selhaném spojení v2 opakoval pokus přes v1 přímo, a ne přes Tor. Výchozí -maxconnections roste ze 125 na 200 a odchozí přenos transakcí omezuje globální fronta místo limitu na každého peera.