Pengembang perangkat lunak klien Bitcoin Core secara resmi mempublikasikan dan menambal tiga celah kerentanan keamanan pada Rabu (28/10/2026) waktu setempat. Langkah penambalan darurat ini dilakukan di bawah kebijakan pengungkapan dipercepat (faster policy) yang baru diadopsi untuk menanggapi temuan bug berisiko tinggi yang teridentifikasi melalui pemindaian otomatis model kecerdasan buatan (Large Language Model/LLM). Salah satu kerentanan dengan tingkat keparahan sedang (Medium severity) tersebut berpotensi menguras memori sistem (RAM) secara tak terbatas hingga melumpuhkan atau memicu crash pada node jaringan Bitcoin yang beroperasi di lingkungan sistem operasi Windows, macOS, dan BSD.
Mekanisme Eksploitasi TCP dan Kerentanan Memori Node
Kerentanan paling kritis dalam pengungkapan ini berkaitan dengan protokol lapisan transport (TCP). Eksploitasi dilakukan ketika node berbahaya (malicious peer) mengirimkan paket data mendesak (TCP urgent data) yang mampu memotong mekanisme pembatasan antrean memori pada Bitcoin Core. Celah ini memicu akumulasi data yang tidak terkontrol hingga RAM perangkat habis dan mematikan proses daemon node secara mendadak. Namun, pengembang mengonfirmasi bahwa node Bitcoin yang berjalan di atas kernel Linux sepenuhnya kebal dari anomali penanganan paket TCP tersebut.
Celah kedua yang juga berstatus Medium severity melibatkan penumpukan memori dari rekanan jaringan (peers) berstatus jeda (paused) yang tidak mengimplementasikan standar BIP31. Dalam kondisi jaringan tertentu, konsumsi memori dapat melonjak hingga 2 MB per jam untuk setiap koneksi masuk (inbound peer) dan membengkak 5 MB per jam untuk setiap koneksi keluar (outbound peer). Operator node yang mengaktifkan parameter konfigurasi `-blocksonly` dilaporkan memiliki paparan risiko yang jauh lebih minim terhadap serangan kehabisan memori ini.
Kerentanan Berkas Undo dan Batasan Sistem Berkas
Kerentanan ketiga diklasifikasikan dengan tingkat keparahan rendah (Low severity), yang berfokus pada potensi luapan (overflow) pada berkas undo (undo-files). Berkas khusus ini bertugas menyimpan data historis yang diperlukan node untuk membalikkan validasi blok (block reversal) saat terjadi reorganisasi rantai (blockchain reorganization). Pada sistem operasi Windows serta arsitektur 32-bit, terdapat batasan posisi berkas sebesar 2 GiB, sementara pembalikan posisi dapat terjadi setelah mencapai batas 4 GiB pada sebagian arsitektur 64-bit.
Meskipun eksploitasi pada sistem 64-bit dinilai sangat sulit secara praktis karena membutuhkan penambangan ribuan blok berturut-turut—setara dengan satu bulan produksi blok jaringan penuh—disertai reorganisasi yang diperhitungkan secara presisi, perangkat lama tetap rentan. Sejumlah sistem 32-bit dan instalasi node yang menyimpan basis data blok pada sistem berkas FAT32 dipastikan masih terdampak oleh keterbatasan teknis penanganan berkas undo tersebut.
Kebijakan Pengungkapan Cepat dan Rilis Versi Tambalan
Pembaruan perbaikan keamanan resmi telah diluncurkan secara serentak ke dalam empat lini rilis terawat, yakni Bitcoin Core versi 29.5, 30.4, 31.2, dan 32.1. Kendati demikian, tim pengembang menegaskan bahwa pembaruan versi ini belum dapat menuntaskan anomali berkas undo pada konfigurasi perangkat keras 32-bit maupun penyimpanan berformat FAT32. Seluruh temuan kerentanan ini awalnya diidentifikasi oleh Project Loupe di Spiral melalui pemindaian model bahasa berskala besar, yang kemudian divalidasi secara independen oleh pengembang Gregory Sanders sebelum dilaporkan ke repositori inti.
Pengungkapan kilat ini merupakan implementasi perdana dari revisi kebijakan keamanan yang diumumkan kontributor Bitcoin Core, Antoine Poinsot, pada 22 Oktober 2026. Di bawah aturan sebelumnya, bug dengan tingkat keparahan menengah dan tinggi wajib menjalani masa embargo ketat hingga dua pekan setelah versi rilis terdampak mencapai akhir masa pakai (end of life). Antoine Poinsot menegaskan bahwa mempertahankan embargo berkepanjangan untuk bug yang mudah ditemukan oleh model kecerdasan buatan merupakan kompromi risiko yang keliru, sehingga publikasi terbuka dan rilis patch segera menjadi standar baru mitigasi jaringan.
Sumber: TokenPost
