Een nieuwe privacyfunctie in bitcoin-core/" data-term-title="Bitcoin Core" role="button" tabindex="0">Bitcoin Core doet precies het tegenovergestelde van wat de naam belooft. Het Bitcoin Core privacylek in de optie privatebroadcast kun je echte ip-adres verraden aan de node die je transactie ontvangt. De ontwikkelaars bevestigen het probleem. Een reparatie volgt in versie 31.1.
| Wat je moet weten |
|---|
| 1Bitcoin Core 31.0 introduceerde privatebroadcast, een functie die je ip-adres moest verbergen. |
| 2Onder bepaalde omstandigheden lekt die functie juist je echte ip-adres. |
| 3Alleen wie de optie zelf aanzet en transacties via sendrawtransaction verstuurt, loopt risico. |
| 4De fix komt in versie 31.1, tot die tijd zet je de functie beter uit. |
Wat het Bitcoin Core privacylek betekent voor je privacy
Bitcoin is pseudoniem, niet anoniem. Je naam staat niet op de blockchain. Toch kun je ip-adres je alsnog verraden. De functie private broadcast moest dat gat dichten. Ze stuurt je transactie alleen via het Tor- of I2P-netwerk, zodat ontvangers je locatie niet zien. De functie moet, in de woorden van het project, „the privacy of the transaction originator” verbeteren. Dat staat in de officiële releasenotes.
Hoe het lek je ip-adres verraadt
Het misgaat bij de versleutelde verbinding. Bitcoin Core probeert eerst contact via BIP324, de nieuwe versleutelde transportlaag. Mislukt die verbinding, dan valt de software soms terug op het oude v1-protocol. Die terugval gaat buiten Tor om. Op dat moment ziet de ontvangende node je echte ip-adres. Een kwaadwillende peer (een ander knooppunt) kan die mislukking met opzet uitlokken, meldt de Franse site bitcoin.fr. Zo omzeilt een aanvaller precies de bescherming die de functie beloofde. De optie zelf kwam binnen via de pull request op GitHub.
| Zo zit het lek in elkaar |
|---|
| 1Je zet privatebroadcast aan en verstuurt een transactie via sendrawtransaction. |
| 2Bitcoin Core zoekt een versleutelde verbinding via BIP324. |
| 3Die verbinding mislukt, soms door toedoen van een kwaadwillende peer. |
| 4De software valt terug op v1 zonder Tor en je ip-adres ligt op straat. |
Wie loopt er gevaar
Niet iedere gebruiker. Het probleem raakt alleen wie privatebroadcast zelf heeft aangezet en transacties uitzendt met het commando sendrawtransaction. Wie een gewone wallet gebruikt en niets aan de standaardinstellingen verandert, valt buiten schot. Toch is de groep niet klein. Juist privacybewuste gebruikers schakelen zulke opties aan. Zij dachten zich extra te beschermen en kregen het omgekeerde.
Zo bescherm je jezelf nu
De ontwikkelaars geven drie tijdelijke opties. Zet private broadcast uit. Of schakel BIP324 uit. Of dwing al je uitgaande verbindingen via Tor. Elk van die drie sluit het lek tot de update er is. Onderzoeker Eugene Siegel ontdekte het probleem dat het nieuwsplatform Phemex eveneens beschrijft. Het past in het meldbeleid voor kwetsbaarheden dat kwetsbaarheden volgens vaste regels openbaar maakt. Bitcoin Magazine legde deze eerdere beleidswijziging al uit.
Waarom dit ook in Nederland telt
De meeste Nederlanders kopen bitcoin via een handelsplatform zoals Bitvavo en draaien geen eigen node. Voor hen verandert er direct weinig. Maar de groep die zelf een node draait, groeit. Privacy is voor die gebruikers vaak de reden. Toezichthouders AFM en DNB hameren tegelijk op transparantie en herleidbaarheid van transacties. Dat schuurt met de wens van gebruikers om hun ip-adres af te schermen. Dit lek laat zien hoe dun die scheidslijn is. Wie zijn privacy belangrijk vindt, leunt beter niet blind op een functie. Eerder schreven we al over privacy op Ethereum en de techniek daarachter.
De koers reageert nauwelijks. Bitcoin schommelt vandaag rond de 63.500 dollar, terwijl de markten breder herstellen. Toch raakt dit lek een gevoelige snaar. Het laat zien dat zelfs de zorgvuldig gebouwde software van het netwerk fouten maakt. De fix in 31.1 lost dit geval op. De les blijft. Een privacyfunctie is pas zo sterk als haar zwakste terugval. Meer cijfers en context vind je in ons dagelijkse crypto-overzicht. Wie grote bedragen verstuurt, controleert beter eerst zijn instellingen.
