Bitcoin Core 已披露运行大部分比特币网络的软件中的三个安全漏洞，其中包括一个一度可能扰乱挖矿的高危漏洞，目前均已修复。

根据该项目发布的一批安全公告，这些漏洞涉及拒绝服务和隐私问题，而非攻击者可借此窃取代币或伪造比特币的漏洞。开发者表示没有证据表明这些漏洞曾在实际中被利用。

Bitcoin Core 是一个主要由志愿者开发者维护的开源参考实现，运行着网络上的大多数节点——即独立验证每一笔交易和每个区块的计算机——因此该软件中的漏洞影响着比特币验证基础设施的广泛部分。该项目将漏洞分为四个级别，从"低"到"中"和"高"，再到"严重"。这三个漏洞均未达到"严重"级别，而是处于该范围的中段。Bitcoin Core 将最高级别保留给那些在协议层面威胁代币窃取、未经授权创建代币或导致全网永久性链分裂的漏洞。

内存池损坏风险

最严重的问题编号为 CVE-2025-62861，涉及区块模板创建，即矿工赖以组装新区块的过程。根据公告，链重组——即网络用竞争链替换近期构建的区块的情形——可能触发对某些交易的错误驱逐。这会损坏节点的内存池，即未确认交易的"候客室"，使受影响的节点在重启之前无法构建区块模板。

对矿工而言，这意味着赚取区块奖励的工作——每个区块新发行的比特币及其附带的手续费——被迫中断。

第二个漏洞 CVE-2025-62859 可能允许对等节点通过播报带有操纵见证数据的紧凑区块来拖延节点的区块处理，这是一种交易延展性攻击形式。紧凑区块是一种节省带宽的中继格式，节点之间交换简短的交易标识符而非完整区块数据。

第三个漏洞 CVE-2025-62860 是一个隐私与安全问题：通过 Tor 匿名网络发起的入站连接被错误授予"白名单"权限，从而解除了受影响节点上的多项拒绝服务和隐私保护。

AI 时代的披露政策

此次披露正值比特币防御者如何跟上不断变化的威胁环境的更广泛反思之际。Bitcoin Core 最近重写了其安全政策以应对 AI，新增了一个"易于发现"漏洞类别，即可通过简单的 AI 提示发现的漏洞。该类别的漏洞现在会立即修复并披露，而不再长期保密。

这一转变反映出人们日益担忧大型语言模型降低了发现漏洞的门槛，志愿组织"比特币红队"（Bitcoin Red Team）的行动凸显了这一忧虑——该团队正加紧在整个生态系统中发现可通过 AI 找到的漏洞，以赶在攻击者利用之前。这场搜寻仍在进行中，使 AI 辅助漏洞发现与即时披露的交汇点成为值得关注的方向。

修复程序本身已提前发布，安全公告随后按照 Bitcoin Core 的披露时间表公布——这一顺序为节点运营者提供了在技术细节公开前进行更新的窗口期。节点运营者通常被敦促运行最新软件以保持安全，因为旧版本不包含这些修复。