Decred ha rilasciato una patch obbligatoria per correggere una vulnerabilità critica del consenso di rete. La patch critica per Decred, identificata come versione v2.1.6, blocca anche un possibile attacco periodico di deanonimizzazione nel sistema di mixing delle transazioni e chiude diverse falle che potevano esporre la rete ad attacchi denial-of-service. L’annuncio è arrivato il 19 agosto tramite un post su X del progetto, che ha invitato tutti gli utenti ad aggiornare il prima possibile.
Summary
Punti chiave
- Decred ha rilasciato la patch obbligatoria v2.1.6 per risolvere una vulnerabilità critica di consenso.
- L’aggiornamento previene un potenziale attacco periodico di deanonimizzazione legato al mixing delle transazioni.
- Sono state corrette diverse possibili vie di attacco denial-of-service e problemi di validazione SPV.
- Chi non aggiorna rischia di finire su un fork di rete diverso rispetto al resto della community.
- Il pacchetto contiene 23 commit di tre sviluppatori, con 795 righe di codice aggiunte e 392 rimosse.
Decred rilascia la patch critica per Decred: cosa cambia con la versione 2.1.6
La versione 2.1.6 interviene su dcrd, il software full-node di Decred, con modifiche parallele rilasciate anche per dcrwallet. Decred ha classificato il problema di consenso come vulnerabilità “critica”, segnalando che il mancato aggiornamento può far operare i nodi su un fork di rete separato. Il progetto non ha diffuso dettagli tecnici che permettano di ricostruire passo dopo passo come sfruttare la falla, ma ha insistito sulla necessità di un aggiornamento diffuso e rapido.
Al pacchetto hanno contribuito Dave Collins, Jamie Holdstock e Josh Rickmar, con 23 commit su 20 file. Al momento dell’annuncio su X, la build Windows di Decrediton non era ancora disponibile, ma la pagina GitHub della v2.1.6 elenca ora i pacchetti per Linux, macOS e Windows. Chi scarica il software può verificare i file tramite hash SHA-256 e le relative firme fornite da Decred.
Perché l’aggiornamento è obbligatorio
L’obbligo di aggiornamento riguarda in particolare stakeholder individuali, Voting Service Providers, miner proof-of-work ed exchange che gestiscono infrastrutture di rete. Chi rimane su versioni precedenti rischia di trovarsi isolato su un ramo diverso della blockchain, con conseguenze operative dirette sulla validità delle proprie transazioni e sulla partecipazione al consenso.
Il fix contro la deanonimizzazione nel mixing delle transazioni
Il nucleo più delicato della patch riguarda il sistema di mixing di Decred, basato sul protocollo CoinShuffle++, attivo sulla mainnet dal 2019. Le modifiche a dcrwallet aggiornano il protocollo mixclient e alzano la versione di pairing usata per stabilire la compatibilità tra i partecipanti alle sessioni di mixing, impedendo così un possibile attacco di deanonimizzazione.
Come conseguenza diretta, i wallet aggiornati alla v2.1.6 non potranno più effettuare il mixing con versioni precedenti, e viceversa. Decred richiede quindi a tutti gli utenti di dcrwallet di passare alla nuova release per continuare a partecipare alle sessioni. Gli sviluppatori hanno inoltre corretto un problema nell’attribuzione delle colpe tra i peer coinvolti nel mixing: in precedenza, un peer che avviava scorrettamente l’accusa poteva evitare di essere a sua volta penalizzato. È stata risolta anche la rimozione dei messaggi dal mixpool una volta scaduta una sessione.
Protezioni aggiuntive contro attacchi DoS e wallet SPV
Oltre al mixing, la patch introduce controlli più stringenti sulla gestione delle transazioni ricevute dalla rete. Il wallet aggiornato rifiuta di registrare una transazione se la verifica della firma fallisce per gli output di sua proprietà spesi, e disconnette i peer SPV che annunciano transazioni con input apparentemente riferiti al wallet ma con script di firma non validi. È stata aggiunta anche la validazione del Merkle-root, prima assente, per i blocchi elaborati in modalità SPV.
Queste correzioni si affiancano ai fix a livello di rete contro gli attacchi denial-of-service inclusi in dcrd v2.1.6. Le note di rilascio non specificano se le vulnerabilità individuate siano state effettivamente sfruttate prima della pubblicazione della patch.
Decred e il mercato delle crypto orientate alla privacy
Le funzionalità di privacy hanno mantenuto DCR al centro delle discussioni sulle crypto orientate all’anonimato. Durante un rally di gennaio 2026 dedicato ai token privacy, DCR ha guadagnato circa il 60% in sette giorni, in un contesto di domanda crescente anche per Monero, Dash e altri asset simili.
Il trattamento riservato dagli exchange a questi asset resta disomogeneo: Binance, dopo aver annunciato la rimozione di alcune crypto legate alla privacy in Europa nel 2023, ha poi fatto marcia indietro, lasciando disponibili Decred, Dash, Zcash, PIVX, Navcoin, Secret e Verge in Francia, Italia, Polonia e Spagna, mentre restrizioni restano attive su altri asset. Sul fronte software, la documentazione di Decred precisa che i wallet mobili non supportano il mixing né la partecipazione proof-of-stake, funzioni riservate alle versioni desktop.
FAQ
Perché la patch v2.1.6 di Decred è obbligatoria?
Perché il mancato aggiornamento potrebbe far operare i nodi su un fork di rete diverso, a causa di una vulnerabilità critica di consenso individuata dal progetto.
Come migliora la privacy nel mixing delle transazioni?
Aggiornando il protocollo mixclient e alzando la versione di pairing delle sessioni, la patch impedisce un potenziale attacco periodico di deanonimizzazione.
Quali rischi di sicurezza di rete affronta la patch, oltre alla deanonimizzazione?
Corregge diverse possibili vie di attacco denial-of-service a livello di rete e impedisce a peer malevoli di sfruttare la rete.
Anche i wallet degli utenti devono essere aggiornati?
Sì, tutti gli utenti di dcrwallet devono passare alla v2.1.6, perché i wallet più vecchi non saranno più compatibili con le sessioni di mixing aggiornate.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
