Первая внешняя проверка безопасности Bitcoin Core: какие результаты были получены?

• Проверка была организована организацией Brink, которая финансирует восемь разработчиков Core.

• В настоящее время около 80% операторов нод Bitcoin используют Bitcoin Core.

Brink, некоммерческая организация, финансирующая разработчиков Bitcoin Core, опубликовала вчера, 26 марта, свой Отчет об инженерных достижениях за 2025 год, в котором задокументирована первая независимая проверка безопасности клиента Bitcoin Core за всю его 16-летнюю историю, проведенная французской компанией Quarkslab в период с мая по сентябрь 2025 года.

Три инженера по безопасности из Quarkslab в течение четырех месяцев проверяли наиболее критичные компоненты Bitcoin Core, программного обеспечения, которое чаще всего используется для участия в сети Bitcoin:

• Слой сетевого взаимодействия (peer-to-peer).

• Mempool: область, где хранятся транзакции, ожидающие подтверждения, прежде чем быть включенными в блок.

• Управление цепочкой блоков и логика консенсуса, то есть код, определяющий и обеспечивающий соблюдение правил Bitcoin.

В результате Quarkslab не обнаружила уязвимостей критической, высокой или средней степени серьезности. Согласно отчету Brink, этот результат впервые публично подтверждает культуру проверки кода, которую разработчики Bitcoin Core создавали на протяжении многих лет.

Кроме того, специалисты из Quarkslab разработали новые инструменты автоматизированного тестирования для двух сценариев: добавления новых блоков в цепочку и реорганизации цепочки. Эти инструменты позволяют обнаруживать неожиданное поведение в этих процессах до того, как они повлияют на ноды, используемые пользователями.

Другие достижения в области безопасности в 2025 году

Помимо проверки безопасности, отчет Brink документирует другие достижения в области безопасности, достигнутые его инженерами в 2025 году.

Одним из них является разработка Fuzzamoto, инструмента автоматизированного тестирования, созданного инженером Никласом Гёгге, который улучшает способность команды обнаруживать уязвимости до того, как они попадут в производственную среду. Традиционные инструменты тестирования анализируют изолированные функции кода, как если бы проверяли каждую деталь двигателя по отдельности.

Fuzzamoto запускает реальный узел Bitcoin Core и отправляет ему случайные последовательности сетевых сообщений, имитируя то, как реальный злоумышленник попытается найти уязвимости в системе.

Благодаря такому подходу, этот инструмент уже обнаружил реальные уязвимости, которые ни один из существующих тестов не смог бы выявить, по словам команды Brink. Среди них ошибка в коде управления mempool, которая была обнаружена во время проверки изменений сообществом, до того, как они были внедрены в производственную среду.

Аудиторы из Quarkslab во время аудита описали Fuzzamoto как «вероятно, самый ценный способ обнаружения более глубоких и сложных ошибок».

Кроме того, инженер Eugene Siegel независимо обнаружил и исправил публично зарегистрированную уязвимость CVE-2025-54605. Проблема заключалась в том, что злоумышленник мог отправлять недействительные блоки на узел жертвы, что вызывало генерацию системных сообщений без каких-либо ограничений скорости, заполняя диск узла и делая его неработоспособным.

Исправление, включенное в Bitcoin Core v30, не только решило этот конкретный случай, но и реализовало систему, которая ограничивает скорость генерации этих сообщений узлом, постоянно блокируя весь этот класс атак.

Еще одним достижением стал SwiftSync, прототип, разработанный Sebastian Falbesoner, который сократил время первоначальной синхронизации нового узла с примерно 41 часа до 8 часов.

С другой стороны, как сообщило CriptoNoticias, 5 января прошлого года команда Bitcoin Core сообщила об ошибке в версиях 30.0 и 30.1, которая могла удалить все файлы кошельков узла при попытке миграции старого кошелька, что могло привести к потере средств, если не было создано резервных копий. Обе версии были сняты с рекомендованного списка, и исправление было включено в Bitcoin Core 30.2.

Сколько узлов используют Bitcoin Core сегодня?

Согласно данным Coin Dance, сеть Bitcoin в настоящее время насчитывает 22 084 активных публичных узла. Из этого общего числа 17 206 используют Bitcoin Core, что составляет 77,9% от общего числа. Остальные 4845 узлов, что составляет 21,9%, используют Bitcoin Knots, альтернативную реализацию, которая значительно выросла в 2025 году после спора вокруг изменений в лимите данных OP_RETURN, введенных в Bitcoin Core v30.

Bitcoin Core (желтая линия) охватывает почти 80% узлов Bitcoin. Источник: Coin Dance.

Текущее распределение операторов узлов иллюстрирует как сильные, так и слабые стороны экосистемы узлов Bitcoin: доминирующее распространение одного решения обеспечивает согласованность в правилах консенсуса, но также концентрирует в одной команде разработчиков решения о том, какие изменения вносить, а какие нет, в программное обеспечение, которое защищает сеть.

Несмотря на преобладание только двух клиентов Bitcoin, 23 марта было объявлено о создании ProductionReady Inc., некоммерческой организации, поддерживаемой Сэмсоном Моу и Джимми Сонгом, которая планирует разработать новый альтернативный клиент Bitcoin, построенный на основе кода Core, но с более консервативным процессом разработки, который восстановит ограничение OP_RETURN до его прежнего значения.

Аудит, проведенный компанией Quarkslab, не является решением этой структурной проблемы, но впервые предоставляет внешнюю проверку команды, стоящей за Core. После 16 лет независимая команда проверила наиболее критичный код Bitcoin и подтвердила, что процесс проверки и обслуживания, созданный разработчиками за долгие годы, работает. Это не решает дебаты об управлении разработкой Bitcoin, но устанавливает проверяемую отправную точку относительно качества работы, которая его поддерживает.

Метки: Bitcoin (BTC) Bitcoin Core Blockchain Разработчики Последние новости