Συνεχίζεται η συζήτηση για TCP hole punching, ώστε κόμβοι πίσω από οικιακούς δρομολογητές να είναι προσβάσιμοι. Παρουσιάζεται επίσης προσχέδιο BIP για την τυποποίηση των πολιτικών δαπάνης που επιβάλλουν συνυπογράφοντες κατά την προσομοίωση covenants.
Οι Greg Sanders, Antoine Poinsot, Elias Rohrer, Oleksandr Kurbatov και Nishant Bansal πλαισιώνουν τους παρουσιαστές του Optech στην ανασκόπηση του #429, που ανοίγει με τα Bitcoin Core #36665, #36667 και #36669 και περνά στην ανανεωμένη πολιτική ασφαλείας. Ακολουθούν τα silent payments πολλών μερών, η αποκάλυψη ενός DoS στο Core Lightning και το Eclair 0.14.6· η απομαγνητοφώνηση εκκρεμεί ακόμη.
Μια ανακοίνωση καναλιού με τον ίδιο κόμβο και στα δύο άκρα μπορούσε να ρίχνει το Core Lightning, από την έκδοση 25.02 έως την 26.04, σε κάθε επανεκκίνηση, με κόστος για τον επιτιθέμενο μόνο τα on-chain τέλη· η διόρθωση ήρθε με την 26.04.1. Στο τεύχος #429 η αποκάλυψη αυτή συνοδεύεται από το πρωτόκολλο του Oleksandr Kurbatov για εισόδους silent payment από πολλά μέρη και τις ταχύτερες διορθωτικές εκδόσεις του Bitcoin Core για σφάλματα που εντοπίζονται εύκολα.
Προσποιούμενος ότι δεν υποστηρίζει τα ping του BIP 31, ένας κακόβουλος ομότιμος κόμβος μπορούσε να αποφύγει την αποσύνδεση των 20 λεπτών και να διαβάζει αργά, φουσκώνοντας την ουρά αποστολής ενός κόμβου έως 2 MB την ώρα για κάθε εισερχόμενη σύνδεση και 5 MB για κάθε εξερχόμενη. Το CVE-2026-117349, μεσαίας σοβαρότητας, διορθώνεται με το #36667 στα Bitcoin Core 32.1, 31.2, 30.4 και 29.5· οι κόμβοι -blocksonly ήταν πολύ λιγότερο εκτεθειμένοι.
Η παρακολούθηση εξαιρέσεων στα socket ευθυγραμμίζεται πλέον ανάμεσα σε poll() και select() στο Bitcoin Core 29.5 (#36665), ενώ οι ομότιμοι κόμβοι με παύση αποστολής αντιμετωπίζουν χρονικό όριο (#36667). Οι θέσεις των flatfile περνούν σε ακέραιους 64 bit (#36669), οι κόμβοι θεωρούν δεδομένο το v2transport για διευθύνσεις από seeds και ένα DNS seed αφαιρείται.
Ένας εξορύκτης μπορούσε να σπρώξει ένα αρχείο undo του Bitcoin Core πέρα από τα 4 GiB, με αποτέλεσμα οι θέσεις των 32 bit να αναδιπλώνονται και τα δεδομένα να αλλοιώνονται, οπότε οι κόμβοι τερματίζουν αν ακολουθήσει η κατάλληλη αναδιοργάνωση· σε Windows και συστήματα 32 bit η αστοχία έρχεται στα 2 GiB χωρίς αναδιοργάνωση. Το CVE-2026-117346 έχει χαρακτηριστεί χαμηλής σοβαρότητας και θα απαιτούσε περίπου έναν μήνα με όλα τα μπλοκ του δικτύου. Οι εκδόσεις 32.1, 31.2, 30.4 και 29.5 το διορθώνουν στα συστήματα 64 bit· οι κόμβοι 32 bit και η αποθήκευση μπλοκ σε FAT32 παραμένουν εκτεθειμένα.
Κόμβοι σε Windows, macOS και BSD μπορούσαν να καταρρεύσουν από έναν συνδεδεμένο ομότιμο που έστελνε επείγοντα δεδομένα TCP: αυτά ξέφευγαν από τις παγωμένες αναγνώσεις στο backend select() και γέμιζαν τη μνήμη χωρίς όριο (CVE-2026-117350). Το Linux χρησιμοποιεί poll() και δεν επηρεάζεται. Το σφάλμα μεσαίας σοβαρότητας, που εντοπίστηκε από σάρωση με LLM στο πλαίσιο του Project Loupe, διορθώνεται στα Bitcoin Core 32.1, 31.2, 30.4 και 29.5.
Το Bitcoin Core 30.4 παύει να θεωρεί τα bit 5 έως 28 του BIP 9 σήματα soft fork, σύμφωνα με το BIP 323, οπότε τα μπλοκ που τα ενεργοποιούν δεν προκαλούν πια προειδοποιήσεις για άγνωστη ενεργοποίηση (#34779). Στο δίκτυο, οι ομότιμοι κόμβοι με παύση αποστολής υπόκεινται πλέον σε χρονικό όριο (#36667), ενώ οι θέσεις των flatfile περνούν σε ακέραιους 64 bit (#36669).
Ανώτατο όριο αποκτά η ιδιωτική μετάδοση στο Bitcoin Core 31.2: η ουρά των συναλλαγών που δεν έχουν ακόμη επιστρέψει από το δίκτυο σταματά στις 10.000 εγγραφές και, όταν γεμίσει, αρνείται νέες υποβολές, αφήνοντας στον καλούντα να την αδειάσει με το abortprivatebroadcast (#35406). Τα bit έκδοσης 5 έως 28 δεν μετρούν πια ως σήματα soft fork, σύμφωνα με το BIP 323.
Τέλος ο κίνδυνος έκθεσης της IP του αποστολέα στην ιδιωτική μετάδοση με το Bitcoin Core 32.1: η διαρροή μπορούσε να συμβεί όταν μια αποτυχημένη σύνδεση v2 ξαναδοκίμαζε μέσω v1 απευθείας και όχι μέσω Tor. Το προεπιλεγμένο -maxconnections ανεβαίνει από 125 σε 200, και ο ρυθμός αναμετάδοσης εξερχόμενων συναλλαγών περιορίζεται μέσω μιας καθολικής ουράς αντί ανά ομότιμο κόμβο.