يكشف برنامج Bitcoin Core عن خلل يمكن أن يسمح للمنقبين بإسقاط العقد.

كشفت مجموعة مطوري Bitcoin Core عن خلل ذي خطورة عالية يمكنه أن يتيح لعمّال المناجم (miners) تعطيل بعض عقد بيتكوين عن بُعد.

الملخص

• كشفت Bitcoin Core عن CVE-2024-52911، والذي يؤثر في الإصدارات قبل 29.0، مع بقاء العقد الأقدم مكشوفة على الإنترنت.
• كان على عمال المناجم استخدام كتل باهظة التكلفة من حيث إثبات العمل لتفعيل حالات التعطّل، ما جعل إساءة الاستخدام في العالم الحقيقي غير مرجّحة تاريخياً بالنسبة للمهاجمين.
• قام Cory Fields بالإبلاغ عن الخلل بشكل سري في 2024، قبل طرح برنامج Bitcoin Core 29.0 المُصحَّح.

تَناوَلَت المشكلة، المسجَّلة تحت CVE-2024-52911، إصدارات Bitcoin Core بعد 0.14.0 وقبل 29.0. تم إصلاح الخلل في Bitcoin Core 29.0، الذي أُطلق في أبريل 2025.

أعلنت Bitcoin Core عن الخلل للعلن في 5 مايو 2026، بعد وصول خط الإصدارات 28.x الأَخير الذي كان لا يزال عرضة للثغرة إلى نهاية عمره في 19 أبريل.

تأثر التحقق من الكتل بالخلل

تضمنت المشكلة مفسّر البرامج النصية (script interpreter) في Bitcoin Core أثناء التحقق من الكتل. قالت Bitcoin Core إن كتلة مُصمَّمة بشكل خاص يمكن أن تتسبب في أن يصل أحد العقد إلى الذاكرة بعد تحرير تلك البيانات بالفعل.

أثناء عملية التحقق، تقوم Bitcoin Core بحساب بيانات إدخال المعاملات مسبقاً ثم تُرسل عمليات فحص البرامج النصية إلى سلاسل (threads) تعمل في الخلفية. في بعض الحالات، يمكن لكتلة غير صالحة أن تُتلف البيانات المُخبّأة بينما لا تزال سلسلة أخرى تحاول قراءتها.

قالت Bitcoin Core إن ذلك قد يسمح لمهاجم لديه ما يكفي من إثبات العمل لتعطيل العقد المستهدفة. كما قالت إن “من الممكن” أن تدعم حالات التعطّل تنفيذ كود عن بُعد، رغم أن القيود المفروضة على بيانات الكتل تجعل هذا السيناريو “غير مرجّح”.

الهجوم يتطلب تعديناً مكلفاً

لم يكن الهجوم سهلاً للقيام به. كان على المُعدّن أن ينتج كتلة مُصمَّمة خصيصاً مع ما يكفي من إثبات العمل للوصول إلى قمة السلسلة (chain tip).

وهذا جعله هجوماً مكلفاً لأن هذه الكتلة ستكون غير صالحة. ولم يكن بإمكانه الحصول على مكافأة كتلة عادية، ما ترك للمهاجم إنفاق قدرات التجزئة (hashpower) دون جمع عائد التعدين المعتاد.

لم تذكر Bitcoin Core أن الخلل استُخدم في هجمات حقيقية. ركزت الإرشادات على طبيعة الثغرة والإصلاح وخط زمني للكشف عنها.

لم يغيّر الخلل قواعد إجماع بيتكوين (consensus). كان مرتبطاً بمعالجة الذاكرة في برنامج Bitcoin Core، لا بالقواعد التي تحدد المعاملات أو الكتل الصالحة.

Cory Fields أبلغ عن الثغرة

قام Cory Fields من مبادرة MIT للمُستَخدَثات الرقمية (MIT Digital Currency Initiative) بالإبلاغ بشكل سري عن الخلل في 2 نوفمبر 2024. قالت Bitcoin Core إن التقرير تضمن نموذجاً أولياً لإثبات المفهوم وخطاً مقترحاً لتقليل المخاطر.

دفعت Pieter Wuille لإجراء إصلاح سري بعد أربعة أيام عبر طلب سحب (PR) 31112. تم دمج طلب السحب في 3 ديسمبر 2024، قبل شحن Bitcoin Core 29.0 بالإصلاح في أبريل 2025.

التزمت الإرشادات بسياسة الكشف عن ثغرات عالية الخطورة لدى Bitcoin Core. وتنص سياستها على أن قضايا الخطورة العالية تُكشف عنها بعد أن تصل آخر نسخة متأثرة إلى نهاية عمرها.

بالإضافة إلى ذلك، لا تزال عمليات تشغيل العقد باستخدام إصدارات Bitcoin Core قبل 29.0 تواجه الخلل القديم. لا تقوم Bitcoin Core بتحديث تلقائي، لذا يتعين على المستخدمين تثبيت الإصدارات الأحدث يدوياً.

استشهد تقرير سابق حول مخاطر لا مركزية سلاسل الكتل بأبحاث تشير إلى أن 21% من عقد بيتكوين كانت تستخدم برنامج Bitcoin Core غير المحدث في يونيو 2021. ويُظهر هذا السياق سبب بقاء إصدارات العميل الأقدم شاغلاً أمنياً حتى بعد وقت طويل من طرح الإصلاحات.