Les développeurs de Bitcoin Core ont divulgué un bug de gravité élevée qui pourrait permettre aux mineurs de faire planter à distance certains nœuds Bitcoin.
Résumé

Bitcoin Core a divulgué la CVE-2024-52911, qui touche les versions antérieures à la 29.0, avec des nœuds plus anciens restant exposés en ligne.
Les mineurs devaient produire des blocs de preuve de travail coûteux pour déclencher les plantages, ce qui rendait une exploitation réelle historiquement peu probable pour les attaquants.
Cory Fields a signalé le bug en privé en 2024, avant la sortie du logiciel corrigé par Bitcoin Core 29.0.

Le problème, suivi sous la CVE-2024-52911, a touché les versions de Bitcoin Core après la 0,14.0 et avant la 29.0. Le bug a été corrigé dans Bitcoin Core 29.0, publié en avril 2025.

Bitcoin Core a rendu le problème public le 5 mai 2026, après que la dernière ligne de publication vulnérable 28.x a atteint la fin de sa prise en charge le 19 avril.

Le bug affectait la validation des blocs

Le problème concernait l’interpréteur de script de Bitcoin Core lors de la validation des blocs. Bitcoin Core a déclaré qu’un bloc spécialement conçu pouvait amener un nœud à accéder à une zone mémoire après que ces données avaient déjà été libérées.

Lors de la validation, Bitcoin Core pré-calculait les données d’entrée des transactions et envoyait les vérifications de script à des threads en arrière-plan. Dans certains cas, un bloc invalide pouvait détruire les données mises en cache pendant qu’un autre thread essayait encore de les lire.

Bitcoin Core a déclaré que cela pouvait permettre à un attaquant disposant de suffisamment de preuve de travail de faire planter les nœuds victimes. Il a aussi indiqué que « il est possible » que le plantage prenne en charge l’exécution de code à distance, même si, en raison des limites sur les données de bloc, cette issue était « improbable ».

L’attaque exigeait un minage coûteux

L’attaque n’était pas simple à mener. Un mineur devait produire un bloc spécialement conçu avec suffisamment de preuve de travail pour atteindre le sommet de chaîne.

Cela rendait l’attaque coûteuse, car un tel bloc serait invalide. Il ne pouvait pas obtenir une récompense de bloc normale, forçant l’attaquant à dépenser de la puissance de hachage sans récupérer la rémunération habituelle du minage.

Bitcoin Core n’a pas indiqué si le bug avait été utilisé dans des attaques réelles. L’avis mettait l’accent sur la faille, la correction et la chronologie de divulgation.

Le bug ne changeait pas les règles de consensus de Bitcoin. Il était lié à la gestion de la mémoire dans le logiciel de Bitcoin Core, et non aux règles qui définissent les transactions ou les blocs Bitcoin valides.

Cory Fields a signalé la faille

Cory Fields de la MIT Digital Currency Initiative a signalé le bug en privé le 2 nov. 2024. Bitcoin Core a déclaré que le rapport incluait une preuve de concept et une méthode proposée pour réduire le risque.

Pieter Wuille a appliqué un correctif discret quatre jours plus tard via la PR 31112. La requête a été fusionnée le 3 déc. 2024, avant que Bitcoin Core 29.0 ne soit publié en avril 2025 avec la correction.

L’avis a suivi la politique de divulgation de Bitcoin Core pour les bugs de sévérité élevée. Sa politique indique que les problèmes de sévérité élevée sont divulgués après que la dernière version concernée ait atteint la fin de sa prise en charge.

En plus, les opérateurs de nœuds utilisant des versions de Bitcoin Core antérieures à la 29.0 restent confrontés au bug historique. Bitcoin Core ne se met pas à jour automatiquement, donc les utilisateurs doivent installer manuellement les versions plus récentes.

Un rapport antérieur sur les risques de décentralisation de la blockchain a cité une étude indiquant qu’en juin 2021, 21% des nœuds Bitcoin utilisaient un logiciel Bitcoin Core obsolète. Ce contexte montre pourquoi des versions clientes plus anciennes peuvent rester une préoccupation de sécurité bien longtemps après l’arrivée des corrections.

Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'avertissement.