Im Oktober 2026 wurden drei Sicherheitslücken im Bitcoin-Core-Client entdeckt, die die Stabilität und Verfügbarkeit von Validierungs-Nodes im gesamten Bitcoin-Netzwerk gefährden. Die Schwachstellen – zwei mittelschwer und eine geringfügig – betreffen insbesondere die Speicherverwaltung und den Netzwerk-Multiplexer von Nodes, die nicht länger von Linux-Systemen ausgehen. Die Offenlegung erfolgte im Rahmen einer neu eingeführten Fast-Track-Policy, bei der die Entwickler nach einer Richtlinienänderung vom 22. Oktober 2026 auf sofortige Veröffentlichung setzten, um das Zeitfenster für Angreifer zu minimieren.
Technische Details der drei Schwachstellen
1. Speichererschöpfung via TCP-Out-of-Band-Daten (nicht-Linux)
Auf Windows-, macOS- und BSD-Systemen verwendet Bitcoin Core den älteren Netzwerk-Multiplexer select(). Angreifer können TCP-Urgent- bzw. Out-of-Band-Daten (OOB) senden, wodurch der interne Back-pressure-Mechanismus umgangen wird. Der Resultat ist eine unbegrenzte Speicherallokation, die zum Absturz des Nodes führen kann. Linux-Nodes, die poll() einsetzen, sind von dieser Schwäche ausgenommen.
2. Verzögerte Nachrichten bei veralteten Peers
Die zweite Schwachstelle ermöglicht es bösartigen Peers, sich als veraltete Bitcoin-Clients auszugeben und den Empfang von Nachrichten gezielt zu verzögern. Durch das Aufstauen von Daten im Arbeitsspeicher kann der Node bis zu fünf Megabyte pro Stunde pro ausgehender Verbindung (und zwei Megabyte pro Stunde pro eingehende Verbindung) zusätzlich verbrauchen – ein Effekt, der sich bei vielen gleichzeitigen Verbindungen schnell zu einem Denial-of-Service (DoS) summiert.
3. Fehlerhafte Undo-Dateien bei Reorganisationen
Die dritte Schwachstelle betrifft die Verwaltung von Undo-Daten, die für das Rückgängigmachen von Block-Reorganisationen nötig sind. Unter extrem unwahrscheinlichen Bedingungen könnte ein Angreifer tausende speziell konstruierte Blöcke erzeugen und eine gezielte Reorganisation durchführen, um einen Überlauf der Undo-Dateien zu bewirken. Dadurch müssten betroffene Nodes ihre Blockchain-Datenbank per Reindex neu aufbauen. Wegen der hohen Komplexität wird diese Lücke als geringfügig eingestuft.
Fast-Track-Offenlegungsprozess: Sofortige Veröffentlichung ohne Embargo
Am 22. Oktober 2026 trat eine Richtlinienänderung (Pull Request #1281) in Kraft, die von Core-Entwickler Antoine Poinsot initiiert wurde. Sie sieht vor, dass leicht auffindbare Schwachstellen (“easily discoverable”) – insbesondere solche, die von großen Sprachmodellen (LLMs) innerhalb von Sekunden wiederentdeckt werden können – nicht mehr monatelang unter Embargo bleiben. Stattdessen werden koordinierte Point-Releases zusammen mit einer öffentlichen Warnung veröffentlicht. Für die drei 2026-Entdeckungen wurden bewusst keine CVE-IDs vergeben, um bürokratische Verzögerungen zu vermeiden.
Veröffentlichte Patches und deren Verteilung
Die Fehlerbehebung erfolgte in vier Wartungs-Releases, die am 27. und 28. Oktober 2026 veröffentlicht wurden:
Bitcoin Core 29.5
Bitcoin Core 30.4
Bitcoin Core 31.2
Bitcoin Core 32.1
Alle Änderungen sind im Pull-Request #36665 implementiert, eingereicht von Gregory Sanders und umgesetzt von Antoine Poinsot. Die Updates beheben die beiden mittelschweren Schwachstellen vollständig; die geringfügige Undo-Datei-Lücke bleibt auf 32-Bit-Systemen und FAT32-Dateisystemen bestehen.
Statistiken und Netzwerk-Impact
Metric
Wert
Einheit
Quelle
Zusätzlicher Speicherverbrauch (Outbound)
5
MB/Stunde pro Verbindung
S1
Zusätzlicher Speicherverbrauch (Inbound)
2
MB/Stunde pro Verbindung
S1
Anteil Nodes auf EOL-Versionen
43,6
%
S2
Veröffentlichungszeitraum der Updates
27.-28.
Oktober 2026 (2 Tage)
S3
Der Snapshot des Karlsruher Instituts für Technologie (KIT) zeigte, dass von 8.422 analysierten Nodes 3.671 (43,6 %) auf Versionen liefen, die ihr End-of-Life bereits überschritten hatten. Diese Nodes erhalten keinerlei automatischen Sicherheitspatch und bleiben anfällig, solange kein manuelles Upgrade erfolgt.
Risiken durch die beschleunigte Veröffentlichung
Verkürzte Testphase (“Bake Time”): Die sofortige Bereitstellung der Patches lässt wenig Raum für umfangreiche Regressionstests. Antoine Poinsot räumte ein, dass dadurch das Risiko unvorhergesehener Nebeneffekte steigt.
Keine automatische Reparatur bei korrumpierten Undo-Dateien: Betroffene Nodes müssen nach einem Reorg-Fehler nicht nur neu starten, sondern die gesamte Blockchain per Reindex neu einlesen.
FAQ – Häufig gestellte Fragen
Sind auch ältere Bitcoin-Core-Releases wie v28 oder v27 betroffen? Ja. Die architektonischen Schwachstellen reichen bis in Version 28 zurück, aber da diese Versionen bereits ihr End-of-Life erreicht haben, erhalten sie keine Updates. Betreiber sollten auf mindestens v29.5 umsteigen.
Warum haben die Schwachstellen keine offizielle CVE-Nummer erhalten? Im Rahmen der Richtlinienanpassung von Oktober 2026 wurde bewusst auf eine CVE-Zuweisung verzichtet, um die schnelle Bereitstellung zu ermöglichen.
Müssen reine Wallet-Nutzer ohne eigene Node etwas unternehmen? Nein. Die Lücken betreffen ausschließlich die Erreichbarkeit und Validierungsfunktion von Nodes und ermöglichen keinen Diebstahl von UTXOs oder Zugriff auf private Schlüssel.
Sicherheitsupdates veröffentlicht
Die Veröffentlichung markiert zugleich einen historischen Wendepunkt in der Sicherheitspolitik von Bitcoin Core. Erst am 22. Oktober 2026 passten die Entwickler um Antoine Poinsot ihre Offenlegungspraxis offiziell an: Schwachstellen, die durch Künstliche Intelligenz und LLM-Prompts mit minimalem Aufwand entdeckt werden können, unterliegen nicht mehr den bisher üblichen, monatelangen Embargos (Poinsot, 2026). Stattdessen werden koordinierte Point-Releases für alle aktiv gepflegten Zweige zeitgleich mit einer öffentlichen Warnung ausgerollt. Das verringert das Zeitfenster für Angreifer radikal, verkürzt allerdings auch die Vorlauf- und Testzeit der Patches.
Besondere Dringlichkeit besteht für Betreiber historischer Softwarestände: Laut Messungen des Karlsruher Instituts für Technologie (KIT, 2026) liefen kurz vor den Vorfällen noch über 43 % der öffentlich sichtbaren Bitcoin-Nodes auf Versionen, die ihr Support-Ende längst erreicht haben. Da Backports nur für die Versionen 29.5, 30.4, 31.2 und 32.1 bereitgestellt wurden, bleiben ältere Clients ungeschützt gegenüber den Speicherangriffen. Administratoren sollten daher zeitnah prüfen, ob ihre Nodes auf einem aktuellen Versionszweig betrieben werden, um Denial-of-Service-Ausfälle verlässlich zu verhindern.
Fazit
Die drei 2026-Entdeckten Sicherheitslücken zeigen, wie kritisch die kontinuierliche Wartung von Bitcoin-Core-Nodes ist. Durch die neue Fast-Track-Offenlegungspolitik wird das Risiko, dass Angreifer bekannte Schwachstellen ausnutzen, deutlich reduziert, gleichzeitig entstehen jedoch neue Herausforderungen – vor allem für Betreiber veralteter Nodes und für die Qualitätssicherung der schnell veröffentlichten Patches. Für End-Nutzer, die ausschließlich Wallet-Software nutzen, besteht kein unmittelbarer Handlungsbedarf, doch für die gesamte Netzwerk-Stabilität ist ein rascher Upgrade auf die gepatchten Versionen 29.5, 30.4, 31.2 oder 32.1 unabdingbar.
