מימוש הייחוס של ביטקוין. באתר שלו מתפרסמות הכרזות על גרסאות, הודעות אבטחה והצהרות של הפרויקט.
119 פרסומים
כורה יכול היה לדחוף קובץ undo של Bitcoin Core מעבר ל-4 GiB, לגרום למיקומים בני 32 ביט לגלוש ולהשחית נתונים, כך שצמתים נכבים אם בא אחר כך ה-reorg המתאים; ב-Windows ובמערכות 32 ביט הכשל מגיע כבר ב-2 GiB וללא reorg. הפגיעות CVE-2026-117346 מדורגת בחומרה נמוכה ודורשת בערך חודש של כל בלוקי הרשת. גרסאות 32.1, 31.2, 30.4 ו-29.5 מתקנות מערכות 64 ביט; צמתי 32 ביט ואחסון בלוקים על FAT32 נשארים מושפעים.
Bitcoin Core
ניטור החריגות בסוקטים זהה עכשיו בין poll() ל-select() ב-Bitcoin Core 29.5 (#36665), ועל עמיתים שהשליחה אליהם מושהית נאכף timeout (#36667). מיקומי flatfile עוברים למספרים שלמים של 64 ביט (#36669), צמתים מניחים v2transport בכתובות שמגיעות מ-seeds, ו-DNS seed אחד הוסר.
Bitcoin Core
עמית זדוני שהעמיד פנים שאינו תומך בפינגים של BIP 31 יכול היה להתחמק מהניתוק אחרי 20 דקות ולקרוא לאט, וכך לנפח את תור השליחה של הצומת בעד 2MB לשעה לכל עמית נכנס ו-5MB לכל עמית יוצא. הפגיעות CVE-2026-117349, בחומרה בינונית, תוקנה ב-#36667 ב-Bitcoin Core 32.1, 31.2, 30.4 ו-29.5; צמתי -blocksonly היו חשופים הרבה פחות.
Bitcoin Core
עמית מחובר יכול היה להפיל צמתים ב-Windows, macOS ו-BSD בעזרת TCP urgent data, שעקף את השהיית הקריאה ב-backend של select() ותפס זיכרון ללא הגבלה (CVE-2026-117350). צמתי Linux משתמשים ב-poll() ואינם מושפעים. הבאג, בחומרה בינונית, התגלה בסריקת LLM במסגרת Project Loupe ותוקן ב-Bitcoin Core 32.1, 31.2, 30.4 ו-29.5.
Bitcoin Core
ביטים 5 עד 28 של BIP 9 כבר לא נחשבים ב-Bitcoin Core 30.4 לאותות סופט פורק, בהתאם ל-BIP 323, ולכן בלוקים שמדליקים אותם לא מעוררים עוד אזהרות על פריסה לא מוכרת (#34779). בצד הרשת נאכף עכשיו timeout על עמיתים שהשליחה אליהם מושהית (#36667), ומיקומי flatfile עברו למספרים שלמים של 64 ביט (#36669).
Bitcoin Core
השידור הפרטי מקבל תקרה ב-Bitcoin Core 31.2: תור העסקאות שעוד לא חזרו מהרשת נעצר ב-10,000 רשומות ודוחה הגשות חדשות כשהוא מלא, והניקוי מוטל על התוכנה הקוראת, באמצעות abortprivatebroadcast (#35406). ביטי גרסה 5 עד 28 כבר לא נספרים כאותות סופט פורק, לפי BIP 323.
Bitcoin Core
השידור הפרטי ב-Bitcoin Core 32.1 כבר לא מסכן את כתובת ה-IP של השולח: הדליפה יכלה לקרות כשחיבור v2 שנכשל נוסה שוב ב-v1 ישירות ולא דרך Tor. ברירת המחדל של -maxconnections עולה מ-125 ל-200, והגבלת הקצב על הפצת עסקאות יוצאות עוברת ל-backlog גלובלי במקום לכל עמית בנפרד.
Bitcoin Core
קריאות וכתיבות כבדות לדיסק בשגרה נבעו מבאג שתוקן ב-Bitcoin Core 29.4: מסד הנתונים של ה-chainstate המשיך לשכתב חלקים גדולים מעצמו. התיקון מכבה את seek compaction של LevelDB ומריץ compaction ל-chainstate באופן סדיר (#35465).
Bitcoin Core
השכתוב הבלתי פוסק של ה-chainstate בדיסק נגמר ב-Bitcoin Core 30.3, שמתקנת גם קריסה של feebumper כשעמלת ההקפצה המשולבת אינה זמינה (#34870) ובאג בבחירת מטבעות שחישב סכום כערך בוליאני (#34888). בצד ה-PSBT, מפתחות ציבוריים של MuSig2 נבדקים עכשיו בעת דה-סריאליזציה של pubnonce וחתימה חלקית (#34219).
Bitcoin Core
דליפת כתובת IP באפשרות -privatebroadcast נסגרה ב-Bitcoin Core 31.1: חלק מהחיבורים יצאו ברשת הגלויה במקום ברשת הפרטיות שהופעלה. העדכון גם מפסיק את שכתובי ה-chainstate שגרמו לפעילות דיסק מופרזת, ודוחה רשימת מפתחות ציבוריים ריקה באגרגציית מפתחות MuSig2 (#35316).
Bitcoin Core
לחיצת יד v2 שנכשלת עלולה לחשוף ב-Bitcoin Core 31.0 את כתובת ה-IP של השולח: כשהאפשרות -privatebroadcast מוגדרת, הניסיון החוזר ב-v1 מדלג על פרוקסי Tor ומתחבר ישירות לעמית. הטריגר הסביר הוא עמית זדוני שסוגר את לחיצת היד בכוונה. עד שתצא 31.1 אפשר לכבות את התכונה, להגדיר -v2transport=0 או לשלוח תעבורת IPv4/IPv6 יוצאת דרך Tor.
Bitcoin Core
גרסאות Bitcoin Core שאחרי 0.14.0 ולפני 29.0 עלולות היו לקרוא זיכרון משוחרר בזמן אימות בלוק לא תקין שנבנה במיוחד, ובכך להפיל את הצומת. הפגיעות CVE-2024-52911 מדורגת בחומרה גבוהה, אם כי התוקף צריך להשקיע הוכחת עבודה תקפה בקצה השרשרת, והרצת קוד מרחוק נחשבת לא סבירה. Cory Fields דיווח עליה, והתיקון נמצא ב-29.0.
Bitcoin Core
Cluster mempool מחליף את התכנון הישן ב-Bitcoin Core 31.0: מגבלות האבות והצאצאים מפנות מקום לאשכולות של עד 64 עסקאות ו-101 kB, וה-CPFP carveout נעלם. ברירת המחדל של -dbcache עולה ל-1024 MiB במכונות עם 4096 MiB RAM לפחות, ואפשרות חדשה, -privatebroadcast, שולחת שידורי sendrawtransaction רק דרך Tor או I2P.
Bitcoin Core
שני כשלים בארנקים ללא שם מתוקנים ב-Bitcoin Core 28.4: הגירת ארנק legacy (#34156) ו-createfromdump, שבמסלול הכשל שלו נמחקה תיקיית הארנקים (#34215). בנוסף הוסר DNS seed אחד מ-chainparams (#33723).
Bitcoin Core
עמיתים ששולחים עסקאות לא תקפות מבחינת קונצנזוס כבר לא נענשים ב-Bitcoin Core 29.3 (#33050). האימות מקבל מטמון sighash midstate לכל קלט בסקריפטים של legacy, P2SH ו-segwit v0 (#32473) ומזהה witness stripping בלי להריץ שוב בדיקות Script (#33105), ובפונקציה addPackageTxs של הכורה נעלמה גלישה של מספר שלם ללא סימן (#33475).
Bitcoin Core
כשל ההגירה של ארנקי legacy ללא שם נעלם ב-Bitcoin Core 30.2 (#34156), ו-createfromdump כבר לא מוחק את תיקיית הארנקים כשהוא נכשל על ארנק כזה (#34215). גם לחיצה על Ctrl-C לא נתקעת יותר בזמן קריאות המתנה של IPC (#33511).
Bitcoin Core
בתנאים נדירים, הגירת wallet.dat שנכשלת ב-Bitcoin Core 30.0 או 30.1 עלולה למחוק את כל הקבצים בתיקיית הארנקים ולסכן כספים. המפתחים משכו את הקבצים הבינאריים האלה ומבקשים לא לבצע הגירה דרך ה-GUI או ה-RPC עד 30.2. הבאג מחייב wallet.dat ברירת מחדל ללא שם שנכשל בהגירה או בטעינה; שאר המשתמשים אינם מושפעים.
Bitcoin Core
ארנקים ב-Bitcoin Core 30.1 מפסיקים לשקול מטבעות TRUC לא מאושרים שיש להם אבות (#33528). בצד ה-IPC, האפשרויות כבר לא מחייבות את הארגומנט -m (#33229), רישום ההודעות מכביד פחות (#33517), ואפשר לבטל קריאות waitNext שרצות (#33676).
Bitcoin Core
עסקאות לא סטנדרטיות שנבנו במיוחד יכלו להעסיק צומת Bitcoin Core כמה שניות כל אחת בלי שהשולח ינותק, וכך לתת לתוקף דרך לעכב הפצת בלוקים. הפגיעות CVE-2025-46598, בחומרה נמוכה, דווחה על ידי Antoine Poinsot וצומצמה ב-v30.0 בקיצור זמן האימות במקרה הגרוע.
Bitcoin Core
בלוקים של יותר מ-1GB יכלו לגרום לגלישה בבדיקת גודל בצמתי Bitcoin Core של 32 ביט ולהפיל אותם בכתיבה לדיסק, אבל רק כ-compact block, ורק מול קורבן שמריץ -maxmempool מעל 3GB ומחזיק בתוכו 1GB של עסקאות. Pieter Wuille גילה את CVE-2025-46597, בחומרה נמוכה; הגבלת -maxmempool במערכות 32 ביט סגרה אותה ב-29.1 וב-30.0.
Bitcoin Core
