Oude bug in Bitcoin Core in het geheim opgelost, kon nodes laten crashen
Er is een oude fout ontdekt in de software van Bitcoin Core, de belangrijkste software achter het Bitcoin-netwerk. Door die bug konden kwaadwillenden in theorie andere computers op het netwerk laten crashen. In extreme gevallen zou het zelfs mogelijk zijn geweest om op afstand code uit te voeren op kwetsbare systemen.
Volgens ontwikkelaars gaat het om een kwetsbaarheid met de naam CVE-2024-52911. De fout zat jarenlang in meerdere versies van Bitcoin Core en trof softwareversies van 0.14.1 tot en met 28.4.
Wat is Bitcoin Core eigenlijk?
Bitcoin Core is software die draait op zogenaamde nodes. Dat zijn computers die transacties controleren en helpen om het Bitcoin-netwerk veilig en betrouwbaar te houden.
Wanneer een nieuwe Bitcoin-transactie binnenkomt, controleert de software of alles klopt. Dat gebeurt razendsnel en vaak tegelijk via meerdere processen op de achtergrond.
Juist daar ging het mis.
Fout in geheugenbeheer
De bug ontstond doordat bepaalde onderdelen van de software nog data probeerden te gebruiken die al uit het geheugen was verwijderd. In de softwarewereld heet dat een “use-after-free”-fout.
Dat klinkt technisch, maar het probleem is simpel gezegd dat een programma iets probeert te lezen wat niet meer bestaat. Daardoor kan software instabiel worden, crashen of in sommige gevallen verkeerde opdrachten uitvoeren.
Ontwikkelaars zeggen dat een aanvaller speciale blokken moest maken om de fout te misbruiken. Die blokken voldeden wel aan de regels van Bitcoin mining, maar zouden uiteindelijk alsnog door het netwerk worden afgekeurd.
Dat maakt een aanval duur en onpraktisch, omdat miners geen beloning zouden krijgen voor die blokken.
Kans op aanval klein, maar niet nul
Volgens beveiligingsonderzoekers was de aanval ingewikkeld en kostbaar. Toch was er wel degelijk een theoretisch risico.
Onder specifieke omstandigheden konden kwetsbare nodes crashen. In een extreem scenario zou iemand zelfs controle kunnen krijgen over delen van een systeem door slim misbruik te maken van de geheugenfout.
Er zijn tot nu toe geen meldingen dat de bug echt actief is gebruikt.
Bug al langer bekend bij ontwikkelaars
De fout werd eind 2024 ontdekt door ontwikkelaar Cory Fields. Daarna gingen Bitcoin Core-ontwikkelaars achter gesloten deuren aan de slag met een oplossing.
De reparatie werd uiteindelijk toegevoegd aan Bitcoin Core 29.0, een update die in april 2025 verscheen.
Opvallend is dat veel nodes nog steeds oude software draaien. Volgens schattingen gebruikt mogelijk 40 procent van het netwerk nog verouderde versies die kwetsbaar kunnen zijn.
Dat komt doordat Bitcoin geen automatische updates heeft. Iedere beheerder van een node moet zelf handmatig updaten.
Geen probleem met Bitcoin zelf
De ontwikkelaars benadrukken dat de fout niet in Bitcoin zelf zat, maar alleen in de software van Bitcoin Core. De regels van het Bitcoin-netwerk zijn dus niet aangepast.
De oplossing zit vooral in beter geheugenbeheer tijdens het controleren van transacties.
Toch laat het incident zien dat zelfs een volwassen netwerk als Bitcoin afhankelijk blijft van goede software-updates en actief onderhoud. Zeker omdat oude nodes nog jarenlang online kunnen blijven. Lang leve de welwillende developers van Bitcoin Core, het verdient lof dat ze dit in stilte hebben weten op te lossen.
