{"id":6399,"date":"2026-11-13T18:36:47","date_gmt":"2026-11-13T18:36:47","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/"},"modified":"2026-11-13T18:36:47","modified_gmt":"2026-11-13T18:36:47","slug":"bitcoin-core-falla-tor-nodi-whitelist","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/","title":{"rendered":"Bitcoin Core, falla Tor: migliaia di nodi con privilegi non dovuti"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\"><strong>Bitcoin Core<\/strong> ha reso pubblica una vulnerabilit\u00e0 che concedeva a migliaia di nodi un trattamento riservato ai peer fidati per le connessioni in arrivo via Tor. Il difetto, catalogato come CVE-2025-62860 e giudicato di gravit\u00e0 media, \u00e8 stato corretto nell&#8217;ottobre 2025, ma i dettagli sono stati divulgati il 10 novembre 2026 con un <a href=\"https:\/\/bitcoincore.org\/en\/2026\/11\/10\/disclose-cve-2025-62860\/\" target=\"_blank\" rel=\"noopener\">advisory ufficiale del progetto<\/a>. Nello stesso giorno sono stati resi noti altri due problemi, uno dei quali di gravit\u00e0 alta e con effetti sulla creazione dei blocchi da parte dei miner.<\/p>\n\n\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#Come_funzionava_la_falla\" >Come funzionava la falla<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#Quanti_nodi_erano_coinvolti\" >Quanti nodi erano coinvolti<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#La_cronologia_della_segnalazione\" >La cronologia della segnalazione<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#La_seconda_vulnerabilita_il_blocco_dei_miner\" >La seconda vulnerabilit\u00e0: il blocco dei miner<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#Come_aggiornare_Bitcoin_Core_e_verificare_il_nodo\" >Come aggiornare Bitcoin Core e verificare il nodo<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#Cosa_significa_per_chi_usa_Bitcoin\" >Cosa significa per chi usa Bitcoin<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#Domande_frequenti\" >Domande frequenti<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-8\" href=\"https:\/\/bitcoinlive24.com\/news\/bitcoin-core-falla-tor-nodi-whitelist\/#Conclusione\" >Conclusione<\/a><\/li><\/ul><\/nav><\/div>\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Come_funzionava_la_falla\"><\/span>Come funzionava la falla<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un nodo Bitcoin pu\u00f2 essere configurato con l&#8217;opzione <code>-whitelist<\/code>, che allenta alcune protezioni contro il sovraccarico di connessioni (il cosiddetto denial of service) e contro la fuga di informazioni verso i peer considerati fidati. Il problema nasce quando questa opzione lavora insieme a Tor. Il demone Tor, che inoltra le connessioni in entrata, le presenta a Bitcoin Core con il proprio indirizzo IP, di solito quello della stessa macchina o della rete locale.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Se quell&#8217;indirizzo ricadeva in un intervallo inserito nella whitelist, ogni connessione in arrivo via Tor riceveva i privilegi previsti per i peer fidati. L&#8217;advisory descrive effetti sui limiti anti-DoS e sulle protezioni della privacy, non parla di furti di fondi o di chiavi private.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Quanti_nodi_erano_coinvolti\"><\/span>Quanti nodi erano coinvolti<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il problema ha riguardato soprattutto alcuni software distribuiti insieme a Bitcoin Core e a un demone Tor, che hanno impostato come predefinito un intervallo di whitelist coincidente con quello di Tor. Secondo il progetto, il risultato \u00e8 stato <strong>migliaia di nodi raggiungibili sulla mainnet<\/strong> che accettavano tutte le connessioni Tor in entrata con quei privilegi.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">I nodi che non avevano attivato l&#8217;opzione <code>-whitelist<\/code>, che \u00e8 non predefinita, non sono mai stati colpiti. Chi usa una configurazione standard, quindi, non ha nulla da modificare.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table>\n<thead>\n<tr><th>Versione Bitcoin Core<\/th><th>Stato<\/th><th>Data della correzione<\/th><\/tr>\n<\/thead>\n<tbody>\n<tr><td>30.0<\/td><td>Correzione inclusa<\/td><td>10 ottobre 2025<\/td><\/tr>\n<tr><td>29.2<\/td><td>Correzione inclusa<\/td><td>14 ottobre 2025<\/td><\/tr>\n<tr><td>28.3<\/td><td>Correzione inclusa<\/td><td>20 ottobre 2025<\/td><\/tr>\n<tr><td>Versioni precedenti alla 28.3<\/td><td>Vulnerabili se \u00e8 attiva la whitelist su range Tor<\/td><td>&#8211;<\/td><\/tr>\n<\/tbody>\n<\/table><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_cronologia_della_segnalazione\"><\/span>La cronologia della segnalazione<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La vulnerabilit\u00e0 \u00e8 stata scoperta da Martin Zumsande e Antoine Poinsot, che l&#8217;hanno segnalata al team di sicurezza di Bitcoin Core il 12 settembre 2025. La correzione \u00e8 arrivata in pochi giorni: la modifica \u00e8 stata integrata nel codice il 17 settembre 2025 con la pull request #33395, poi retroportata sulle versioni precedenti. Nel frattempo i manutentori hanno avvisato i fornitori di software coinvolti, come previsto dalla prassi di divulgazione responsabile.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La pubblicazione dei dettagli \u00e8 arrivata dopo che le versioni corrette erano gi\u00e0 disponibili da mesi. Questo ha permesso agli operatori di nodi di aggiornare prima di leggere i dettagli tecnici.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_seconda_vulnerabilita_il_blocco_dei_miner\"><\/span>La seconda vulnerabilit\u00e0: il blocco dei miner<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il secondo problema, catalogato come <a href=\"https:\/\/bitcoincore.org\/en\/2026\/11\/10\/disclose-cve-2025-62861\/\" target=\"_blank\" rel=\"noopener\">CVE-2025-62861<\/a>, \u00e8 di gravit\u00e0 alta e riguarda le versioni da 28.0 a 28.2 e da 29.0 a 29.1. Anche in questo caso la correzione \u00e8 nella release 30.0 del 10 ottobre 2025. Il difetto coinvolge le regole sulle transazioni di versione 3, note come TRUC e definite dal BIP 431, che limitano le relazioni tra transazioni non confermate.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Durante un riorganizzamento della catena (reorg), le transazioni dei blocchi scollegati tornano nel mempool, cio\u00e8 la lista delle transazioni in attesa. In quel passaggio una regola di sostituzione poteva eliminare una transazione ripristinata lasciando nel mempool quelle che ne dipendevano, con uno stato incoerente. Il risultato, secondo l&#8217;advisory, \u00e8 che i nodi dei miner potevano non riuscire a creare template di blocco validi. Si tratta di regole di policy del mempool, non di consenso: un blocco valido pu\u00f2 contenere qualsiasi topologia, quindi la validit\u00e0 dei blocchi non \u00e8 in discussione, ma la produzione dei blocchi pu\u00f2 incepparsi. Sul tema della pressione sulla rete mineraria, il nostro aggiornamento sulla <a href=\"https:\/\/bitcoinlive24.com\/news\/difficolta-mining-bitcoin-record-sotto-massimo\/\">difficolt\u00e0 di mining di Bitcoin<\/a> mostra il contesto in cui operano i miner.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Come_aggiornare_Bitcoin_Core_e_verificare_il_nodo\"><\/span>Come aggiornare Bitcoin Core e verificare il nodo<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Per chi gestisce un nodo la priorit\u00e0 \u00e8 semplice. Il primo passo \u00e8 aggiornare a Bitcoin Core 28.3, 29.2, 30.0 o a una versione successiva. Il secondo \u00e8 controllare il file di configurazione e cercare una riga <code>whitelist=<\/code>: se \u00e8 presente e include l&#8217;indirizzo da cui arriva Tor, la correzione va applicata senza rinviare. Il terzo \u00e8 verificare la configurazione di Tor, perch\u00e9 le versioni corrette non applicano la whitelist alle connessioni ricevute tramite onion bind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Per chi usa soltanto un wallet e non gestisce un nodo, non \u00e8 richiesta nessuna azione. Chi segue la sicurezza della rete pu\u00f2 leggere con calma le due advisory, che restano la fonte pi\u00f9 affidabile sull&#8217;argomento.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_significa_per_chi_usa_Bitcoin\"><\/span>Cosa significa per chi usa Bitcoin<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La notizia non cambia il funzionamento di Bitcoin n\u00e9 la sicurezza dei fondi custoditi dagli utenti. Mostra per\u00f2 quanto la rete dipenda da software e configurazioni di terze parti: un&#8217;opzione non predefinita, combinata con un&#8217;impostazione di fabbrica di alcuni fornitori, ha esposto migliaia di nodi fino agli aggiornamenti. Per chi osserva la salute della rete \u00e8 un promemoria utile sul valore della divulgazione responsabile e degli aggiornamenti tempestivi.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Anche il tema dei nodi domestici \u00e8 collegato a questa vicenda. Chi vuole capire come si configura un nodo pu\u00f2 leggere il nostro approfondimento su <a href=\"https:\/\/bitcoinlive24.com\/news\/nodi-bitcoin-domestici-hole-punching\/\">i nodi Bitcoin domestici e la proposta di hole punching TCP<\/a>, sempre su BitcoinLive24.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_frequenti\"><\/span>Domande frequenti<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">La falla ha compromesso i miei bitcoin?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">No, secondo l&#8217;advisory la falla riguarda i limiti di rete e la privacy dei nodi. Non descrive furti di fondi o accessi alle chiavi private.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Il mio nodo \u00e8 stato colpito?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Solo se avevi attivato l&#8217;opzione <code>-whitelist<\/code> con un intervallo di indirizzi che includeva quello del demone Tor. Nelle configurazioni predefinite il nodo non era coinvolto.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Quali versioni risolvono il problema?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Per la vulnerabilit\u00e0 Tor, le versioni 28.3, 29.2 e 30.0 e successive. Per il blocco dei template dei miner, la correzione \u00e8 nella 30.0.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Dove posso leggere i dettagli tecnici?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nella sezione sicurezza del sito di Bitcoin Core, dove sono pubblicati entrambi gli advisory. Una sintesi giornalistica dell&#8217;episodio \u00e8 disponibile anche su <a href=\"https:\/\/crypto.news\/bitcoin-core-tor-whitelist-vulnerability\/\" rel=\"nofollow noopener\" target=\"_blank\">crypto.news<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Conclusione\"><\/span>Conclusione<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">La falla sulla whitelist con Tor \u00e8 un caso di scuola: una combinazione di impostazioni non predefinite e di scelte dei fornitori ha prodotto un rischio diffuso, poi corretto con una release. Su BitcoinLive24 continueremo a seguire le novit\u00e0 sul software dei nodi e sulle release di Bitcoin Core. Per ricevere gli aggiornamenti in tempo reale, <a href=\"https:\/\/bitcoinlive24.com\">scarica l&#8217;app BitcoinLive24<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Bitcoin Core ha reso pubblica una vulnerabilit\u00e0 che concedeva a migliaia di nodi un trattamento riservato ai peer fidati per le connessioni in arrivo via&#8230;<\/p>\n","protected":false},"author":2,"featured_media":265,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[],"class_list":["post-6399","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6399","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=6399"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/6399\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/265"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=6399"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=6399"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=6399"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}