বিটকয়েন কোরে উচ্চ-গুরুত্বপূর্ণ নিরাপত্তা ত্রুটি, মাইনিং নোড বন্ধ হতে পারে

একটি বিটকয়েন কোর বাগ কীভাবে মাইনিং কার্যক্রম বন্ধ করে দিতে পারে?

সর্বাধিক প্রভাবশালী দুর্বলতা, CVE-2025-62861 নামে চিহ্নিত, বিটকয়েন কোর সংস্করণ 28.0 থেকে 28.2 এবং 29.0 থেকে 29.1-এ প্রভাব ফেলেছিল। উচ্চ গুরুত্বের (high severity) হিসেবে শ্রেণীবদ্ধ এই ত্রুটিটি ব্লকচেইন পুনর্গঠনের সময় লেনদেন পরিচালনার সঙ্গে সম্পর্কিত ছিল, যা খনন নোডগুলোকে বৈধ ব্লক টেমপ্লেট তৈরি করতে অক্ষম করে দিতে পারতো।

এর কেন্দ্রে ছিল সংস্করণ 3 লেনদেন, যা সাধারণত TRUC লেনদেন নামে পরিচিত, এবং যা বিশেষায়িত mempool সীমাবদ্ধতার অধীনে কাজ করে। চেইন পুনর্গঠনের সময়, Bitcoin Core ভুলভাবে লেনদেন বাতিল করতে পারতো, নির্ভরশীল লেনদেনগুলো রেখে, যার ফলে এর লেনদেন পুলে অসামঞ্জস্য তৈরি হত।

মাইনকারীদের জন্য এর পরিণতি ছিল বিশেষভাবে সমস্যাযুক্ত। প্রভাবিত নোডগুলো ব্লক টেমপ্লেট যাচাইকরণে ব্যর্থ হতে পারতো, ফলে সেগুলো পুনরায় চালু না হওয়া পর্যন্ত নতুন মাইনিং কাজ তৈরি করতে পারতো না। মাইনিং যন্ত্রপাতি পুরনো টেমপ্লেট হ্যাশ করতেই থাকতো, যার ফলে লেনদেনের ফি হারানোর এবং অপারেশনাল দক্ষতা হ্রাসের সম্ভাবনা ছিল।

নিরাপত্তা গবেষক নিকলাস গেগে ২৬ সেপ্টেম্বর, ২০২৫-এ এই ত্রুটিটি রিপোর্ট করেন। পরবর্তীতে ডেভেলপার গ্রেগ স্যান্ডার্স ২ অক্টোবর একটি সংশোধন প্রস্তাব করেন, যা পুনর্গঠনের সময় সমস্যাযুক্ত লেনদেন অপসারণের আচরণ প্রতিরোধ করে।

এই সমাধানটি অক্টোবর ২০২৫ জুড়ে Bitcoin Core ৩০.০, ২৯.২ এবং ২৮.৩ সফটওয়্যারে প্রয়োগ করা হয়েছিল। তবুও, প্রকাশের সময় প্রায় ৯% সংযোগযোগ্য নোড ঝুঁকিপূর্ণ সংস্করণগুলো প্রচার করতেই ছিল।

অন্যান্য দুইটি বিটকয়েন কোর নিরাপত্তা দুর্বলতা কী ছিল?

দ্বিতীয় দুর্বলতা, CVE-2025-62859, মাঝারি-গুরুত্বপূর্ণতার শ্রেণীবদ্ধ ছিল এবং এতে ছিল দুষ্টুভাবে তৈরি করা কম্প্যাক্ট ব্লক। একজন আক্রমণকারী পরিবর্তিত লেনদেন সাক্ষীদের (transaction witnesses) অনুপযুক্ত হ্যান্ডলিংয়ের সুযোগ নিয়ে বারবার ব্লক ডাউনলোড বিলম্বিত করতে পারত। নির্দিষ্ট নেটওয়ার্ক পরিস্থিতিতে, যেমন আপস করা উচ্চ-ব্যান্ডউইথ পিয়ার সংযোগ, এই বিঘ্ন অনির্দিষ্টকাল ধরে চলতে পারত।

গবেষক ইউজিন সিগেল এপ্রিল ২০২৫-এ এই দুর্বলতা সনাক্ত করেন। গ্রেগরি স্যান্ডার্স সংশোধনটি তৈরি করেন, যা বিটকয়েন কোর সংস্করণ ৩০.০ এবং ২৯.২-এ পৌঁছেছে।

এদিকে, CVE-2025-62860 একটি সম্পূর্ণ ভিন্ন সমস্যা প্রকাশ করেছিল যা ইনবাউন্ড টর সংযোগ এবং ট্রাস্টেড-পিয়ার পারমিশন সম্পর্কিত। যখন অপারেটররা বিটকয়েন কোরের ঐচ্ছিক -whitelist সেটিংয়ে তাদের টর ডিমনের ঠিকানা অন্তর্ভুক্ত করত, তখন ইনকামিং সংযোগগুলো ভুলক্রমে ট্রাস্টেড পিয়ারদের জন্য নির্ধারিত বিশেষাধিকার উত্তরাধিকারসূত্রে পেত।

এই ছাড়গুলি নির্দিষ্ট ডিনায়াল-অফ-সার্ভিস সুরক্ষা এবং গোপনীয়তা রক্ষা দুর্বল করে দিয়েছিল। Bitcoin Core ইঙ্গিত দিয়েছে যে হাজার হাজার সংযোগযোগ্য মেইননেট নোড সম্ভাব্যভাবে প্রভাবিত হয়েছে, যদিও স্ট্যান্ডার্ড কনফিগারেশনগুলো নিরাপদ ছিল।

বিটকয়েন কোর কেন নভেম্বর পর্যন্ত ত্রুটিগুলো প্রকাশ করতে অপেক্ষা করল?

১০ নভেম্বরের ঘোষণাগুলো বিটকয়েন কোরের প্রতিষ্ঠিত প্রকাশের সময়সূচি অনুসরণ করেছিল। ডেভেলপাররা প্রযুক্তিগত বিবরণ গোপন রেখেছিল যতক্ষণ না শেষ দুর্বল প্রধান রিলিজ লাইন, 29.x, 27 অক্টোবর, 2026-এ শেষ-জীবন (end-of-life) অবস্থায় পৌঁছায়। ২৮ অক্টোবর প্রকাশিত তিনটি এআই-সহায়িত দুর্বলতা প্রকাশের তুলনায়, এই সমস্যাগুলো প্রচলিত নিষেধাজ্ঞা প্রক্রিয়া অনুসরণ করেছিল।

গুরুত্বপূর্ণভাবে, কোনোটিই বিটকয়েন চুরি, অননুমোদিত কয়েন তৈরি বা সমঝোতা ব্যর্থতার সুযোগ দেয়নি, এবং কোনো শোষণের ঘটনা রিপোর্ট হয়নি। মাইনিং দুর্বলতার জন্য নির্দিষ্ট পুনর্গঠনের শর্ত প্রয়োজন ছিল, যার অর্থ এর পরিণতি বিটকয়েন নিজেই নয়, শুধুমাত্র প্রভাবিত অপারেটরদের মধ্যে সীমাবদ্ধ ছিল।

বিটকয়েন মাইনার এবং নোড প্রশাসকদের জন্য এই পার্থক্যটি গুরুত্বপূর্ণ। সফটওয়্যার রক্ষণাবেক্ষণ অপরিহার্য, এমনকি যখন দুর্বলতাগুলো তহবিলকে ঝুঁকিপূর্ণ করতে না পারে। এই ঘটনাটি দেখায় কীভাবে আপাতদৃষ্টিতে অস্পষ্ট লেনদেন-প্রক্রিয়াকরণ ত্রুটিগুলো নেটওয়ার্কের মৌলিক ঐকমত্যকে হুমকির মুখে না ফেলে বাস্তব অপারেশনাল সমস্যা সৃষ্টি করতে পারে।