Các nhà phát triển Bitcoin Core vừa tiết lộ một lỗi nguy hiểm cao có thể khiến các node bị ảnh hưởng không thể tạo thêm các block mới. Lỗi này xuất hiện trong quá trình tái tổ chức chain, làm hỏng mempool của node.
Rất may, các nhà phát triển đã khắc phục vấn đề này từ hơn một năm trước, nhưng những node cũ vẫn có thể gặp rủi ro.
Cách một đợt tái tổ chức chain có thể làm gián đoạn việc tạo block Bitcoin
Một block template là block ứng viên mà một node chuẩn bị để thợ đào xử lý. Nếu không có block template, node khai thác sẽ không thể tạo block mới.
Vào ngày 10/11/2026, Bitcoin Core đã đăng tải cảnh báo về lỗ hổng CVE-2025-62861. Dưới đây là những thông tin chính:
- Phiên bản bị ảnh hưởng: Bitcoin Core 28.0 đến 28.2 và 29.0 đến 29.1.
- Nguyên nhân gốc: Một quy tắc có tên là sibling eviction hoạt động không đúng khi diễn ra tái tổ chức chuỗi.
- Lỗi: Node có thể loại bỏ một giao dịch khôi phục nhưng lại giữ lại các giao dịch con của nó.
- Kết quả: Những giao dịch còn sót lại sử dụng số tiền thực tế không còn tồn tại.
Vấn đề liên quan đến giao dịch TRUC – một dạng giao dịch mới chỉ cho phép một giao dịch con chưa xác nhận duy nhất. Với cơ chế sibling eviction được thêm từ phiên bản 28.0, một giao dịch con thứ hai nếu có phí cao hơn có thể thay thế giao dịch đầu tiên.
Tuy nhiên, cơ chế này bị lỗi khi node khôi phục giao dịch từ các block bị ngắt kết nối. Nói đơn giản, node đã xây block tiếp theo dựa trên nền tảng bị sai lệch.
Những ai gặp rủi ro bởi lỗi Bitcoin Core này?
Chủ yếu là thợ đào và nhà vận hành pool sử dụng những phiên bản Bitcoin Core có lỗ hổng. Khi mempool bị thiếu đồng nhất, việc tạo block template sẽ bị kiểm tra và không hợp lệ.
Kết quả là node bị ảnh hưởng sẽ không thể tạo block mới. Biện pháp khắc phục duy nhất là khởi động lại node, điều này buộc node xây lại mempool từ đầu.
Chuyên gia bảo mật Niklas Goegge đã báo cáo lỗi này một cách có trách nhiệm vào ngày 26/09/2025. Ngay sau đó, nhà phát triển Greg Sanders đã đưa ra bản vá.
Bản vá được phát hành trong tháng 10/2025 với các phiên bản 30.0, 29.2 và 28.3. Bitcoin Core chỉ công bố chi tiết sau khi phiên bản 29.x cuối cùng hết vòng đời. Đây là lý do tại sao các nhà phát triển thường trì hoãn công bố cho đến khi đa số các node đã được cập nhật.
Đáng chú ý, đợt công bố này còn có thêm hai lỗi khác đã được sửa ở phiên bản 30.0. Một lỗi có thể làm gián đoạn xử lý block, lỗi còn lại cho phép cấp quyền sai đối với kết nối Tor từ bên ngoài. Trước đó vào tháng 10/2025, cũng đã phát hiện ba lỗi khác nhờ bộ quét tự động dùng AI có tên Project Loupe.
Vì vậy, các nhà vận hành node vẫn dùng phiên bản 28.0 đến 29.1 cần nâng cấp ngay lập tức. Khởi động lại node bị ảnh hưởng cũng sẽ khôi phục mempool mới sạch sẽ.
