Bitcoin Core corregge un attacco DoS contro i nodi Windows e macOS

🛡️ Executive Summary

• Bitcoin Core corregge una vulnerabilità che permette a un peer malevolo di provocare un consumo incontrollato della memoria sui nodi che utilizzano il backend select().
• Il problema riguarda Windows, macOS e sistemi BSD, mentre i nodi Bitcoin Core su Linux non sono vulnerabili attraverso il percorso di codice interessato.
• Le versioni corrette sono 29.5, 30.4, 31.2 e 32.1. La falla è stata individuata mediante una scansione automatizzata basata su LLM e successivamente verificata da un ricercatore.

Bitcoin Core ha corretto una vulnerabilità che permette a un nodo malevolo di esaurire la memoria RAM di altri nodi Bitcoin, provocandone l’arresto attraverso pacchetti TCP appositamente costruiti. Il problema interessa Windows, macOS e sistemi BSD, mentre le installazioni Linux utilizzano un differente meccanismo di gestione dei socket e non risultano coinvolte. Gli sviluppatori hanno distribuito le versioni 29.5, 30.4, 31.2 e 32.1, introducendo una correzione classificata di gravità media. La scoperta è particolarmente significativa anche per il metodo utilizzato: il difetto è stato identificato attraverso Project Loupe, un sistema di analisi automatizzata che utilizza modelli linguistici, prima di essere verificato e comunicato al team di sicurezza.

Bitcoin Core permette a un peer malevolo di aggirare il limite della memoria

L’advisory ufficiale pubblicato da Bitcoin Core il 28 ottobre 2026 descrive un difetto nella gestione dei dati TCP urgenti, conosciuti anche come out-of-band data. Bitcoin Core applica normalmente un meccanismo di controllo della memoria che limita la quantità di dati ricevuti da ciascun peer e temporaneamente conservati in attesa di elaborazione. Quando la coda supera una determinata soglia, il nodo sospende la lettura dal socket, evitando che un interlocutore possa saturare progressivamente la memoria disponibile. Il problema nasce dal backend di monitoraggio dei socket basato su select(), utilizzato nelle piattaforme non Linux. Questo componente continuava a osservare le condizioni eccezionali dei socket anche quando le letture ordinarie erano sospese. Un peer capace di inviare dati TCP urgenti poteva quindi attivare il percorso di gestione dell’evento eccezionale e provocare nuove letture, aggirando il meccanismo di backpressure che avrebbe dovuto bloccare l’accumulo dei dati. La coda continuava a crescere senza rispettare il limite previsto per il peer, fino al possibile esaurimento della memoria del processo. La conseguenza è un denial of service, non l’esecuzione arbitraria di codice né il furto delle chiavi private del wallet. L’attaccante deve riuscire a stabilire una connessione con il nodo bersaglio, ma una volta connesso può sfruttare il comportamento difettoso per provocarne l’arresto. Il team Bitcoin Core considera la vulnerabilità facilmente individuabile, pur assegnandole una gravità complessiva media.

Windows, macOS e BSD sono vulnerabili: Linux utilizza un backend differente

La distinzione tra sistemi operativi deriva direttamente dall’architettura del software. Bitcoin Core utilizza poll() sulle piattaforme Linux, mentre il percorso vulnerabile è associato a select(), adottato sulle altre piattaforme supportate. La gestione degli eventi eccezionali risulta differente e permette, nel secondo caso, di continuare a leggere dati nonostante la sospensione imposta per limitare il consumo della memoria. Per questa ragione, non tutti i nodi Bitcoin Core sono vulnerabili, e non è corretto descrivere il problema come una falla che consente di mandare offline l’intera rete Bitcoin. L’impatto dipende dal sistema operativo utilizzato e dall’esposizione del nodo alle connessioni peer-to-peer. Le installazioni su Windows, macOS e BSD possono essere raggiunte da interlocutori malevoli, mentre Linux non utilizza il percorso di codice che rende possibile questo specifico attacco. La differenza è rilevante soprattutto per gli operatori che mantengono nodi personali o infrastrutture dedicate su computer desktop e server non Linux. L’arresto del processo può interrompere la sincronizzazione e la disponibilità locale dei servizi collegati, ma non altera le regole di consenso della blockchain e non permette di modificare le transazioni già confermate. Il rischio operativo deve quindi essere distinto dalle vulnerabilità che interessano direttamente la validazione dei blocchi o la gestione degli asset.

Leggi anche: Banche USA bloccano gli agenti AI, Bitcoin Core accelera le patch

Project Loupe individua la falla con un LLM e Bitcoin Core la corregge

La vulnerabilità è stata identificata il 23 ottobre 2026 attraverso una scansione automatizzata realizzata nell’ambito di Project Loupe, iniziativa di Elias Rohrer presso Spiral. La segnalazione è stata successivamente verificata da Gregory Sanders, che ha informato il team di sicurezza Bitcoin Core nella stessa giornata. Il 26 ottobre Antoine Poinsot ha aperto la pull request #36665 per correggere il problema; la modifica è stata integrata e adattata alle quattro linee di versione supportate prima della divulgazione pubblica. La distribuzione delle patch è avvenuta in due fasi. Le versioni Bitcoin Core 31.2 e 32.1 sono state pubblicate il 27 ottobre, mentre 29.5 e 30.4 sono arrivate il 28 ottobre, giorno della pubblicazione dell’advisory. L’intervallo tra individuazione e correzione conferma l’efficacia del nuovo processo di risposta alle vulnerabilità facilmente rilevabili con strumenti automatizzati, già annunciato dagli sviluppatori nei giorni precedenti. Il contributo dell’intelligenza artificiale riguarda l’individuazione iniziale del difetto, non dimostra che un agente abbia autonomamente sviluppato e distribuito la correzione senza supervisione. Il riconoscimento della vulnerabilità, la validazione del comportamento e l’integrazione del codice corretto hanno coinvolto ricercatori e manutentori identificati. Il caso fornisce un esempio concreto delle nuove possibilità offerte dai modelli linguistici nell’analisi del codice, già affrontate in relazione alla ricerca di vulnerabilità Bitcoin mediante strumenti AI.

Aggiornare Bitcoin Core impedisce l’esaurimento della memoria tramite TCP

Gli operatori che utilizzano Bitcoin Core su Windows, macOS o BSD dovrebbero verificare la versione installata e adottare il rilascio corretto corrispondente alla linea di aggiornamento mantenuta. Il progetto identifica espressamente come risolutive le versioni 29.5, 30.4, 31.2 e 32.1. L’installazione della correzione è la misura specifica prevista per eliminare il comportamento vulnerabile, senza dover modificare il protocollo Bitcoin o intervenire sulle chiavi crittografiche.La gravità media assegnata al difetto non rende il problema trascurabile. Un nodo che esaurisce la memoria può interrompere la propria operatività e influenzare applicazioni locali che dipendono dal suo funzionamento. Per chi gestisce infrastrutture dedicate, l’aggiornamento dovrebbe essere accompagnato dal normale controllo della disponibilità del servizio, del consumo di memoria e della capacità del processo di ristabilire le connessioni dopo il riavvio. La novità non è una compromissione della blockchain, ma la scoperta di un percorso di ricezione TCP che poteva eludere i limiti di memoria previsti dal software. L’episodio mette in evidenza due aspetti: la necessità di mantenere aggiornati anche i nodi Bitcoin installati su sistemi desktop e l’aumento della capacità degli strumenti AI di individuare problemi di sicurezza in codice ampiamente utilizzato. La correzione tempestiva riduce il rischio senza modificare le proprietà fondamentali del protocollo.