Bitcoin Core v31.0 : fuite IP via la diffusion privée

Une faille de confidentialité dans Bitcoin Core 31.0 peut exposer l’adresse IP des nœuds qui utilisent la diffusion privée, une fonctionnalité optionnelle introduite en avril 2026. Les développeurs ont publié l’avertissement le 6 juin 2026. Le correctif sera intégré dans la version 31.1, dont la sortie n’est pas encore datée.

Au programme

• La diffusion privée de Bitcoin Core 31.0 divulgue les adresses IP au lieu de les masquer (avertissement développeurs, 6 juin 2026)
• La faille ne touche que les nœuds ayant activé cette option depuis la v31.0 d’avril 2026
• Un correctif est attendu dans Bitcoin Core 31.1, version non encore publiée

Quelle est la nature du bug de confidentialité ?

La diffusion privée est une option conçue pour anonymiser la propagation des transactions sur le réseau Bitcoin. Activée, elle est censée masquer l’adresse IP du nœud émetteur. Or dans la version 31.0, le mécanisme produit l’effet inverse : il révèle précisément l’information qu’il était censé protéger.

Concrètement, un observateur tiers placé sur le réseau peer-to-peer pourrait corréler une transaction avec l’adresse IP du nœud qui l’a diffusée. Pour les utilisateurs soucieux de leur vie privée, notamment ceux qui évitent un VPN ou le réseau Tor, l’exposition est réelle. C’est un paradoxe documenté par les développeurs eux-mêmes : la fonctionnalité de protection devient un vecteur d’identification.

La sécurité des nœuds Bitcoin Core a déjà fait l’objet d’alertes par le passé, mais ce cas est particulier : la faille naît d’une fonctionnalité récente, pas d’un composant central vieillissant.

Qui est concerné par cette vulnérabilité ?

La surface d’attaque est délimitée. Seuls les nœuds ayant activé la diffusion privée dans la version 31.0 sont exposés. Cette option n’est pas activée par défaut : elle nécessite une configuration explicite de la part de l’opérateur.

Les nœuds qui tournent sur une version antérieure à la 31.0 ne sont pas affectés, puisque la fonctionnalité n’existait pas encore. De même, ceux qui utilisent la 31.0 sans avoir activé la diffusion privée ne risquent rien sur ce vecteur précis. Le périmètre réel est donc limité à un sous-ensemble d’opérateurs ayant adopté la nouveauté dès son introduction en avril 2026.

Reste que cette faille illustre un risque récurrent dans le développement logiciel : les nouvelles fonctionnalités de protection, si elles ne sont pas suffisamment testées en conditions réelles, peuvent créer une fausse sensation de sécurité plus dangereuse que l’absence de protection.

Quand le correctif sera-t-il disponible ?

Les développeurs ont confirmé qu’un correctif sera intégré dans Bitcoin Core 31.1. Aucune date précise de sortie n’a été communiquée au moment de la divulgation, le 6 juin 2026. Il n’est pas rare que les correctifs de sécurité de Bitcoin Core soient publiés en quelques semaines après la divulgation, selon la priorité accordée à la faille.

La publication de la dernière version majeure de Bitcoin Core suit généralement un processus de révision collégiale avant release officielle. Les opérateurs concernés sont invités à désactiver temporairement la diffusion privée dans l’attente de la mise à jour.

La divulgation publique du bug, sans attendre le correctif, signale que les développeurs estiment le risque maîtrisable avec la désactivation de l’option. Une faille critique antérieure sur 43 % des nœuds avait conduit à une approche de divulgation différée, ce qui n’est pas le cas ici.

Quel contexte pour cette faille dans l’écosystème Bitcoin ?

La diffusion privée avait été présentée comme une amélioration de la résistance à la surveillance du réseau. Son introduction dans la version 31.0 visait les opérateurs de nœuds qui souhaitent réduire leur exposition aux analyses de trafic réseau.

Ce type d’outil prend de l’importance à mesure que les régulateurs et les acteurs de l’analyse blockchain affinent leurs méthodes de traçage. L’anonymisation au niveau du réseau : et non uniquement au niveau des adresses : est une préoccupation croissante, notamment pour les utilisateurs dans des juridictions à forte surveillance. La correction de ce bug, une fois disponible, restera nécessaire mais pas suffisante : d’autres vecteurs d’identification existent au niveau des nœuds.

Les développeurs de mainteneurs comme Gloria Zhao sont en première ligne pour ce type de processus de divulgation responsable.

À retenir

Un bug dans la diffusion privée de Bitcoin Core 31.0 expose les adresses IP des nœuds qui l’ont activée, à l’opposé de son objectif. Le correctif arrive en version 31.1. En attendant, désactiver l’option reste la mesure immédiate recommandée. La prochaine étape à surveiller : la date de sortie de la 31.1 et le périmètre exact des nœuds affectés dans la pratique.