Bitcoin Core 公开披露了高危漏洞 CVE-2025-62861，该漏洞可能导致挖矿节点在链重组后无法生成新区块。该缺陷早在一年多前就已悄然修复，且未确认在现实中被利用。尽管如此，此次披露仍凸显了关键漏洞如何能够在比特币的开源开发流程中悄然流转，直至更广泛的社区才得以知晓。CVE 编号本身来自 Common Vulnerabilities and Exposures（通用漏洞披露）系统，这是安全团队用于追踪已公开软件缺陷的标准登记体系。

挖矿风险背后的漏洞

Bitcoin Core 是参考软件实现，大多数全节点和挖矿基础设施都依赖它来验证交易并构建区块模板——即节点从其内存池中组装、供矿工进行哈希运算的候选区块。它与比特币网络本身是不同的：只要足够多的节点运行兼容软件，网络就会持续运转，但 Core 中的缺陷仍可能给依赖它的矿工带来严重的运营问题。

根据 Bitcoin Core 官方公告，CVE-2025-62861 随 28.0 版本引入，同期加入的还有一项名为 TRUC 的功能，即 v3 交易中继——这是一种中继策略，通过限制某些交易及其未确认后代的结构，使待处理交易链的费用加价更加可靠。触发条件是链重组，即网络用竞争链替换近期追加区块的过程，通常发生在竞争性区块候选被发现的时间较为接近时。在此类重组期间，TRUC 兄弟驱逐逻辑未受到 bypass_limits 标志的约束，而该标志通常在交易被重新加入内存池时适用——内存池是节点存放已验证、等待被纳入区块的交易的中转区域。其后果是：花费已不存在输出的交易可能滞留在内存池中，破坏其状态并阻止区块模板的创建，直至节点重启。

实际风险范围较窄但意义重大。运行受影响版本的挖矿节点在遭遇重组后，可能会在不知不觉中失去组装新区块的能力，直到运维人员察觉并重启进程之前，将持续错失区块奖励。由于链重组虽不频繁但属于比特币运行中的正常现象，这一场景并非纯理论假设。

此次披露的关键事实：

• Bitcoin Core 在 v28.3、v29.2 和 v30.0 中发布了针对该高危漏洞的补丁，该漏洞可能在链重组后导致挖矿节点停摆。
• 风险涉及的是挖矿连续性而非整个比特币网络，且未确认存在被利用的情况。
• 运行 28.0–28.2 或 29.0–29.1 版本的节点运营方和矿工应查阅官方公告并进行升级。
• 安全研究员 Niklas Goegge 于 2025 年 9 月 26 日报告了该缺陷。开发者 Greg Sanders 三天后提交了修复 PR #33504；该 PR 于 2025 年 10 月 2 日合并，并向三个发布线进行了向后移植——即对较旧的支持版本进行追溯性应用：分别为 2025 年 10 月 10 日的 v30.0、10 月 14 日的 v29.2 以及 10 月 17 日的 v28.3。

挖矿中断可能造成的连锁影响

矿工竞争着大约每十分钟向比特币链上追加新区块。当节点无法构建有效的区块模板时，它就无法参与这场竞争。单个受影响节点离线只会损害其运营方的利益；但若大量运行同一易受攻击软件版本的节点集体失效，理论上可能会拖慢整个网络的交易确认速度。

Bitcoin Core 公告确认未发生任何利用行为，且在该漏洞存在的窗口期内网络未出现任何干扰。但这一事件仍表明，矿工和节点运营方在运营上依赖 Core 的代码库，尤其是在引入 TRUC 等新的交易中继功能时。

CVE-2025-62861 并非孤立披露。正如 Unchained Crypto 报道的那样，Bitcoin Core 同时披露了另外两个中危漏洞：CVE-2025-62860，Tor 入站连接被错误地授予白名单权限，影响大量主网节点；CVE-2025-62859，恶意对等节点可通过滥用紧凑区块（compact block）来阻滞区块处理。紧凑区块是一种节省带宽的中继格式，节点之间交换交易的简短引用而非完整的区块数据。这三项修复均已在 2026 年 11 月 10 日的披露日期之前发布。

加密社区在 X 上的反应较为克制，大多数评论者指出补丁已发布一年多。在 X 上的一篇帖子中，@TFTC21 写道，这个被评为高危的最严重漏洞可能导致挖矿节点在重组后无法构建区块，直到节点重启，并提醒任何仍在运行低于 29.2 或 30.0 版本的用户保持警惕。

漫长的保密期与新披露政策

Bitcoin Core 在补丁发布后将公开披露延迟了约 396 天，特意等到存在漏洞的 29.x 版本线于 2026 年 10 月 27 日到达生命周期终止——即版本不再接收安全更新的时间点。即便以该项目自身在负责任披露方面的历史标准来看，这一时间间隔也明显偏长。此类保密期是协同漏洞披露的常见做法，即暂时扣留技术细节，直至受影响的用户拥有切合实际的升级窗口。

这一时机也与 Bitcoin Core 的一项政策更新相吻合。该项目现在计划在打完补丁后立即披露可被 AI 工具发现的漏洞，而非长时间保密。正如 Decrypt 报道的那样，这一转变反映出人们日益担心大型语言模型可能帮助恶意行为者在运维人员尚未来得及升级之前，通过补丁差异重新发现已知缺陷。

节点运营方、矿工和用户接下来应采取的措施

运行 Bitcoin Core 28.0、28.1、28.2、29.0 或 29.1 版本的运营方所运行的软件包含该高危挖矿节点缺陷。修复版本为 v28.3、v29.2 和 v30.0。节点运营方和挖矿基础设施团队在升级前应查阅官方 CVE 公告及其内部部署流程，因为任何重大节点软件更新都自带运营风险，应先在预发布环境中进行测试。

不直接运行 Bitcoin Core 或不管理挖矿基础设施的用户无需立即采取任何行动。比特币网络本身未受干扰，在该漏洞存在的期间内交易确认也未受到影响。

比特币基础设施的整体安全态势近来备受关注，加密行业多起高知名度的安全事件令交易所和托管服务运营方保持警惕。Bitcoin Core 的披露属于另一种类别的风险，涉及的是开源节点软件而非托管系统，但它进一步印证了所有比特币相关基础设施及时更新软件的必要性。

挖矿运营方尤其应以对待高危漏洞的同等态度对待这两个中危 CVE。Tor 权限配置错误（CVE-2025-62860）和紧凑区块阻滞攻击（CVE-2025-62859）均影响了生产主网节点，并在同一发布周期内得到修复。运行最新支持版本可同时解决这三项漏洞。

Bitcoin Core 针对可被 AI 发现漏洞的新披露政策表明，未来的补丁周期从修复到公开公告的节奏可能加快。对于挖矿运营和节点运营方而言，这缩短了补丁可用与漏洞细节广为人知之间的时间窗口，使快速升级节奏的重要性较以往更为突出。

编者按：本文于 2026 年 11 月 11 日发布前由 CoinWy 质量控制团队审核，审核内容包括标题准确性、原创价值、事实一致性、元数据、商业披露及作者身份声明。CoinWy 使用 AI 进行研究、起草和审核；其编辑团队对每一篇文章负责，并在必要时更正或撤回文章。

免责声明：本文仅供参考，不构成财务或投资建议。加密货币和数字资产市场存在重大风险。在做出决策之前，请务必自行进行研究。