ビットコインの主要なフルノードソフトウェアであるBitcoin Coreの開発チームは、2026年6月6日にセキュリティ警告を公開し、バージョン31.0で新たに導入されたオプション機能にプライバシー上の脆弱性が存在することを明らかにしました。この脆弱性は、特定のネットワーク条件下において、送信元のIPアドレスが受信側のノードに漏洩する可能性があるものです。開発チームはすでにこの問題の修正に取り組んでおり、次期バージョン31.1でパッチが適用される予定です。影響は最新バージョンで該当機能を有効にしているノード運用者に限定されており、一般的なウォレットや取引所のユーザーに直接の影響はありません。
脆弱性の詳細と技術的な背景
問題が発見されたのは、2026年4月にリリースされたBitcoin Core 31.0でオプションとして追加された「private broadcast（プライベート・ブロードキャスト）」機能です。この機能は、トランザクションを匿名化ネットワークであるTorを経由して送信することで、送信元のIPアドレスや地理的な位置情報を受信側に知られないように設計されていました。
しかし開発チームの発表によると、この機能を使用して暗号化接続（BIP324 v2トランスポート）を試みた際、ハンドシェイクに失敗すると、システムはTorプロキシを経由しない通常の接続（v1）で自動的に再試行を行ってしまいます。このプロセスにおいて、送信元の実IPアドレスが受信側のノードに直接公開されてしまう動作が発生します。さらに、悪意のあるノードが意図的に暗号化ハンドシェイクを拒否することで、この直接接続を強制し、IPアドレスを暴露させる攻撃も可能であるとされています。
影響を受ける範囲とビジネスへの影響
今回のバグは、以下の条件がすべて該当するユーザーにのみ影響します。
- フルノードのソフトウェアとして「Bitcoin Core 31.0」を実行している
- オプション機能である「-privatebroadcast」を有効に設定している
- `sendrawtransaction` RPC（リモートプロシージャコール）を使用してトランザクションをブロードキャストしている
- 送信接続においてTorが利用可能であり、直接のIPv4またはIPv6接続も制限されていない
マイナーや開発者、あるいはモバイルウォレットや暗号資産取引所、サードパーティサービスなどを利用する一般的なビットコインユーザーのIPアドレスが、この特定のバグによって危険に晒されることはありません。しかし、自社でフルノードを運用し、プライバシーの確保を目的に同機能を有効化しているWeb3事業者やプライバシーに関心の高いノード運用者にとっては、公開されているビットコインの台帳データとIPアドレスが結びつき、最終的に特定の個人や企業が特定されるリスクがあるため、注意が必要です。
今後のスケジュールと推奨される回避策
Bitcoin Core開発チームは、すでにこの問題の修正プログラムを準備中であり、近日中にリリースが予定されている「Bitcoin Core 31.1」でパッチを配信するとしています。
修正版がリリースされるまでの間、該当の機能を利用しているノード運用者に対しては、以下のいずれかの回避策を講じることが推奨されています。
- オプション機能を無効化する（`-privatebroadcast=0`を設定する）
- すべての送信トラフィックをTor経由に制限し、直接の接続を行わない設定にする
ポイント
- バージョン31.0のオプション機能であるprivate broadcastにおいて、特定のネットワーク条件下で送信元のIPアドレスが受信ノードに漏洩するバグが発見されました。
- 暗号化接続のハンドシェイクが失敗した際に、Torプロキシを経由しない通常の接続で再試行が行われることが原因とされています。
- 影響を受けるのはBitcoin Core 31.0を稼働させて当該機能を有効にしているノード運用者のみであり、一般のウォレットや取引所のユーザー、マイナーなどには直接の影響はありません。
- 開発チームは対策を講じており、次期アップデートとなるバージョン31.1で修正パッチが提供される予定です。
- 修正版がリリースされるまでの回避策として、機能の無効化や、すべての送信トラフィックをTor経由に制限することが推奨されています。