Mistenkelig økning i falske Bitcoin-noder: Er det forberedelse til angrep?

Bitcoins kommunikasjonsnettverk utsatt for massiv tilstrømning av falske noder

Bitcoins peer-to-peer-nettverk for full nodes, kjent som gossip-kanalen, har opplevd en eksplosiv økning i antallet unike IP-adresser de siste ukene. Ifølge Bitcoin-ekspert Jameson Lopp har utviklingen nådd et nivå som kan tyde på forberedelser til et sybil-angrep – en type angrep der angripere oppretter falske identiteter for å manipulere nettverket.

Lopp delte en bekymringsfull graf fra et levende nettverksverktøy på X (tidligere Twitter) 10. mai 2026, der antallet unike IP- og IP-lignende adresser per dag steg fra tidligere 30 000–60 000 til hele 250 000. Grafen, som vedlikeholdes av forskere ved Karlsruher Institut für Technologie i Tyskland, måler daglige unike adresser via ADDR-meldinger – en type melding som noder bruker for å utveksle informasjon om andre noder i nettverket.

«Hvis dette er korrekt, er noen i ferd med å opprette en mengde falske Bitcoin-node-adresser i Bitcoins p2p-nettverk. Muligens forberedelse til et sybil-angrep?»

Hva er ADDR-meldinger, og hvordan fungerer de?

ADDR er en forkortelse for «address» og er en type melding som Bitcoin-noder sender tilfeldig for å utveksle informasjon om IP-adresser til andre noder de har kontakt med. Disse meldingene hjelper nye noder med å oppdage flere peers i nettverket. Når en ny node kobler seg til noen få innledende noder, mottar den tilfeldig ADDR-meldinger som raskt informerer den om flere tilgjengelige noder. Dette bidrar til å opprettholde et robust og effektivt nettverk for sending og mottak av transaksjoner og blokker.

Mulige årsaker til den plutselige økningen

Det finnes flere mulige forklaringer på den kraftige økningen i antallet unike adresser:

• Økt legitim deltakelse: Flere nye noder kan være blitt lagt til nettverket, noe som kan være en naturlig vekst.
• Overvåkning: En aktør kan forsøke å kartlegge hvilke noder som først videresender transaksjoner, muligens for å analysere transaksjonsflyt. Tidligere har en aktør kalt «LinkingLion» blitt mistenkt for lignende aktiviteter.
• Forberedelse til angrep: Den mest bekymringsfulle forklaringen er forberedelser til et sybil-angrep eller et eclipse-angrep.

Hva er sybil- og eclipse-angrep?

Sybil-angrep innebærer at en angriper oppretter mange falske identiteter for å manipulere et nettverks tillitsmekanismer. I Bitcoins tilfelle kan dette bety at falske noder sprer falsk informasjon eller blokkerer legitime transaksjoner.

Eclipse-angrep, derimot, går ut på at en angriper fyller offerets IP-adresse-tabell med egne IP-adresser. Etter en omstart av noden kan angriperen ta kontroll over offerets forbindelser og mate det med falske blokker eller transaksjoner. Dette ble demonstrert av forskere ved Boston University i 2015.

Bitcoin Core har forsøkt å begrense slike angrep ved å innføre rate-begrensninger og bedre sortering av IP-adresser. Likevel er ingen desentralisert protokoll helt immun mot slike angrep.

Kan dette påvirke Bitcoin-nettverket?

Per nå er det uklart om den økte aktiviteten utgjør en umiddelbar trussel. Bitcoin-nettverket er designet for å være robust, og falske noder filtreres vanligvis ut over tid. Likevel understreker utviklingen viktigheten av kontinuerlig overvåkning og oppdateringer for å sikre nettverkets integritet.

Bitcoin-utviklere og forskere jobber kontinuerlig med å forbedre sikkerheten, men trusselen fra sybil-angrep og lignende aktiviteter krever konstant oppmerksomhet.