Bitcoin Core يكشف عن ثغرة CVE-2025-62861 التي قد توقف بناء كتل البيتكوين (BTC)

Bitcoin Core تفصح عن ثغرة CVE-2025-62861

أعلن مطورو Bitcoin (BTC) Core الثلاثاء الماضي عن ثغرة أمنية تحمل الرقم CVE-2025-62861، مصنفة عالية الخطورة، وقد تعقد العقد المتأثرة عن بناء كتل جديدة. وتوضح ملاحظة الإفصاح أن الخلل ظهر أثناء إعادة تنظيم البلوكتشين، وهي أحداث اعتيادية تعيد فيها الشبكة استبدال الكتل المضافة حديثًا، وأدى إلى إتلاف «الميمبول»، أي مساحة الاحتفاظ بالمعاملات غير المؤكدة لدى العقدة. والإصدارات المتأثرة هي 28.0 إلى 28.2 و29.0 إلى 29.1 من Bitcoin Core. وصنّف المشروع المشكلة على أنها عالية الخطورة لأنها تُعطّل إنتاج الكتل على البرامج المتأثرة، لا لأنها تهدد العملات مباشرة. ولم تكون قواعد إجماع شبكة البيتكوين (BTC) على المحك في أي لحظة؛ فالعيب ظل محصورًا في طريقة إدارة العقدة المتأثرة لمجموعة معاملاتها الخاصة.

تقع في قلب الخلل قاعدة تُعرف بالإخلاء الشقي، أُدخلت مع الإصدار 28.0. وتحكم هذه القاعدة معاملات TRUC (المقيّدة طوبولوجيًا حتى التأكيد)، وهي سياسة ترحيل أحدث تسمح بابن واحد غير مؤكد لكل معاملة. بموجب القاعدة، يستطيع الابن الثاني الذي يدفع رسومًا أعلى أن يحل محل الأول، ما يتيح للمرسل أن يتفوق على دفعة قديمة. غير أن هذا المنطق أخفق في حالة محددة: عندما تستعيد العقد معاملات من كتلة انفصلت أثناء إعادة التنظيم، فقد تلقي بإحدى المعاملات المستعادة مع الإبقاء على أحفادها، فتبقى أبناء «يتيمون» يصرفون أموالاً لم تعد موجودة.

قالب الكتلة هو الكتلة المرشحة التي تعدها العقدة ليعمل المعدنون عليها. وبمجرد أن يصبح الميمبول غير متسق، يفشل إنشاء القالب في فحص صلاحيته، وتعجز العقدة عن إنتاج كتل على الإطلاق. وتوقف العقد المتأثرة نفسها عبر فحوصها الأمنية الداخلية، ولهذا سبب الثغرة في التوقف بدلاً من توليد كتل غير صالحة. ولم يكن العلاج سوى إعادة التشغيل، التي ترغم العقدة على بناء ميمبولها من الصفر. وقع التأثر أساسًا على المعدنين ومشغلي الأشرطة، أي المشاركين في تعدين العملات الذين يشغّلون عقدًا كاملة لتجميع تلك القوالب. بالنسبة لمنشأة تعدين، يعني هذا التوقف قدرة تجزئة معطلة حتى ترقية البرنامج أو إعادة تشغيله.

منشور مشروع Bitcoin (BTC) Core عن الإفصاح في 10 نوفمبر على X

الإصلاح وصل في أكتوبر 2025

أبلغ الباحث الأمني Niklas Goegge عن الثغرة بشكل مسؤول يوم الجمعة 26 سبتمبر 2025، مضيفًا للمشرفين ما يزيد على عام لتجهيز الإصلاحات قبل أن تُنشر أي تفاصيل علنًا. وقدّم المطور Greg Sanders التصحيح في طلب الدمج رقم 33504. وتلا ذلك صدور إصدارات مُصلحة في أكتوبر 2025 هي 30.0 و29.2 و28.3، وتذكر ملاحظة الإفصاح أن الإصلاح وصل إلى Bitcoin Core الإصدار 30.0 يوم الجمعة 10 أكتوبر 2025. فالعقد التي تعمل على الإصدار 30.0 وعلى النسختين الخلفيتين المُصلحتين غير متأثرة. ونُشر الإفصاح نفسه في 10 نوفمبر، وذلك فقط بعد أن وصل الإصدار الأكثر تقلبًا في سلسلة 29.x إلى نهاية عمره الافتراضي، أي أن المشروع لم يعد يصدر تحديثات لهذا الخط. وهذا التأخير ممارسة انكشاف منسق تتيح لأغلب العقد الترقية قبل أن تنتشر تفاصيل الاستغلال.

وقد حملت دفعة الإفصاح نفسها ثغرتين إضافيتين أُصلحتا في الإصدار 30.0. إحداهما كانت قادرة على تعطيل معالجة الكتل تمامًا، والأخرى منحت صلاحيات لاتصالات Tor الواردة كان ينبغي ألا تحصل عليها. ويأتي إفصاح نوفمبر ذلك إثر دفعة أكتوبر التي ضمت ثلاث ثغرات أخرى، رصدتها أداة فحص تعمل بالذكاء الاصطناعي تُدعى Project Loupe. دفعتان خلال نحو ستة أسابيع، وست ثغرات في المجموع، حصة مزدحمة لمراجعي أمن المشروع.

على المشغلين الذين ما زالوا يشغلون أي إصدار من 28.0 إلى 29.1 أن يرقّوا فورًا، وفي الأثناء تعيد إعادة تشغيل العقدة المتأثرة بناء ميمبول نظيف. ولمن يزن خيار الإعداد الجديد، يستعرض دليلنا لتشغيل عقدة البيتكوين خطوات الإعداد النظيف خطوة. والعمل على جانب Core يتجاوز هذه التصحيحات: فطلب الدمج المتاح حديثًا OP_CCV يستهدف العقود ذات الحالة على الطبقة الأساسية، وتتابع تغطيتنا للبيتكوين هذا المسار وهو يتطور.

الدروس العملية أضيق مما يوحي به تصنيف الخطورة. يصف الإفصاح نمط انهيار ذاتي، لا هجومًا مُشاهَدًا: لا شيء في الإفصاح يدعي أن مهاجمًا أطلق تشويش الميمبول، ولا تُذكر أي انقسام في السلسلة أو أموال مسروقة. القراءة المبررة تشغيلية بحتة. فأشرطة التعدين على برامج قديمة تواجه تعطلًا، أي كلفة في مكافآت كتل ضائعة لا في عملات مفقودة، ولا يحمل الإفصاح تقديرًا لعدد العقد التي ما زالت تعمل على الإصدارات المتأثرة. ولم يلمس أي شيء هنا سعر البيتكوين مباشرة؛ وبقيت قواعد الإجماع سليمة طوال الفترة. ما لا يثبته الإفصاح هو حجم العقد المتبقية المعرّضة، الرقم الذي من شأنه أن يجعل هذا الخطر ملموسًا.