Bitcoin Core maakt Tor-lek bekend: duizenden nodes behandelden vreemden als vertrouwde peers

Bitcoin Core heeft een kwetsbaarheid openbaar gemaakt waardoor duizenden bitcoin-nodes inkomende Tor-verbindingen behandelden als vertrouwde peers. Daarmee vielen bij die nodes een paar beschermingen tegen spam en privacylekken weg. De fout zelf zat niet in de standaardinstellingen van Bitcoin Core. Het probleem ontstond in de kant-en-klare nodepakketten die veel thuisgebruikers draaien. Wie zo'n pakket gebruikt, gaat er vaak van uit dat alles goed is ingesteld, en precies daar liep het mis.

Hoe een handige instelling een gat sloeg

Eerst wat uitleg voor wie zelf geen node draait. Met de optionele instelling -whitelist geeft een operator bepaalde IP-adressen extra vertrouwen, bijvoorbeeld computers in het eigen thuisnetwerk. Voor zulke peers gelden minder limieten tegen denial-of-service-aanvallen en ook een paar waarborgen tegen het uitlekken van privégegevens vallen weg. Dat is prima zolang je echt weet wie er aan de andere kant zit.

Bij Tor weet je dat niet. Een inkomende Tor-verbinding komt bij Bitcoin Core binnen via het adres van de Tor-software, en die draait meestal op dezelfde machine of in hetzelfde lokale netwerk. Valt dat adres binnen de ingestelde whitelist, dan krijgt elke willekeurige Tor-gebruiker dezelfde rechten als een vertrouwde peer. In de advisory van Bitcoin Core staat het zonder omwegen: "Popular vendors bundled Bitcoin Core with a Tor daemon, and set the -whitelist option to an IP range matching that of the Tor daemon." Volgens de ontwikkelaars was ook bepaalde clientsoftware afhankelijk van die whitelist, en die software draaide vaak naast Tor.

Het gevolg was dat duizenden bereikbare mainnet-nodes alle inkomende Tor-verbindingen deze rechten gaven. Nodes die -whitelist nooit hadden ingeschakeld, liepen geen risico.

Stil opgelost, pas nu op tafel

Martin Zumsande en Antoine Poinsot ontdekten de fout en meldden die op 12 september 2025. Zumsande legde in zijn codewijziging uit dat een inkomende Tor-verbinding het echte netwerkadres van de peer niet laat zien. Filteren op adres werkt in dat geval dus niet. Zijn oplossing is eenvoudig: verbindingen die via een onion-adres binnenkomen, krijgen nooit meer whitelistrechten. De fix werd op 17 september samengevoegd en twee dagen later bracht Poinsot de getroffen softwareleveranciers op de hoogte. Versie 30.0 kwam uit op 10 oktober 2025, 29.2 op 14 oktober en 28.3 op 20 oktober.

Dat de details pas ruim een jaar later naar buiten komen, is een bewuste keuze. Bitcoin Core houdt informatie over lekken met een gemiddeld of hoog risico normaal achter tot twee weken nadat de laatste getroffen releasereeks geen ondersteuning meer krijgt. Voor 29.x was dat 27 oktober. Wie zijn node al die tijd niet heeft bijgewerkt, draait nu dus software waarvan het lek openbaar is.

Ook miners en compact blocks geraakt

Tegelijk met het Tor-lek maakten de ontwikkelaars twee andere fouten bekend. Volgens The Block kreeg één daarvan de zwaarste beoordeling: de fout kon ervoor zorgen dat mining-nodes na een chain reorganization geen geldige block templates meer maakten.

De miningbug, gemeld door Niklas Goegge, trof versies 28.0 tot en met 28.2 en 29.0 tot en met 29.1. Bij een reorganisatie keren transacties uit losgekoppelde blokken terug naar de mempool, de wachtrij met onbevestigde transacties. Daarbij bleef ten onrechte een vervangingsregel voor zogenoemde TRUC-transacties (versie 3) actief. Die regel kon een teruggezette transactie verwijderen terwijl de transacties die ervan afhingen bleven staan. Pas na een herstart was de mempool weer consistent. De derde fout liet een kwaadwillende peer een node herhaaldelijk tien minuten laten wachten op een volledig blok.

Wat blijft hangen is dat het grootste lek uit deze reeks niet uit de code van Bitcoin Core kwam, maar uit de manier waarop anderen die code verpakten. Draai je een plug-and-play node met Tor, kijk dan in je configuratie of -whitelist aan staat. Zorg daarnaast dat je minstens versie 28.3, 29.2 of 30.0 draait, want 29.x krijgt geen ondersteuning meer.