Bitcoin Core 公開披露高危漏洞 CVE-2025-62861，該漏洞可能使礦工節點在鏈重組後無法產出新區塊。此缺陷早在一年多前即已悄悄修補，且未證實有任何實際遭利用的情況。儘管如此，此次披露仍凸顯了關鍵漏洞如何在整個社群知情之前，悄然通過 Bitcoin 的開源開發流程。CVE 編號本身來自「常見漏洞與揭露」（Common Vulnerabilities and Exposures）系統，這是安全團隊用於追蹤已公開軟體缺陷的標準登錄系統。

礦工風險背後的漏洞

Bitcoin Core 是參考軟體實作，大多數全節點與礦工基礎設施均依賴它來驗證交易並構建區塊模板——即節點從其記憶體池組裝、供礦工進行雜湊運算的候選區塊。它與 Bitcoin 網路本身是兩回事：只要足夠多的節點運行相容軟體，網路就能持續運作，但 Core 中的缺陷仍可能為依賴它的礦工帶來嚴重的營運問題。

根據 Bitcoin Core 官方公告，CVE-2025-62861 隨名為 TRUC 的功能（又稱 v3 交易中繼）於 28.0 版本引入——該中繼政策限制特定交易及其未確認後代交易的結構，以使待處理交易鏈的費率提升（fee-bumping）更加可靠。觸發條件是鏈重組，即網路以競爭鏈取代最近附加區塊的過程，通常發生在相互競爭的區塊候選被近乎同時發現時。在這類重組期間，TRUC 同輩驅逐邏輯並未受 bypass_limits 旗標控管，而該旗標通常在交易被重新加入記憶體池——即節點存放已驗證、等待被納入區塊的交易暫存區——時生效。結果是：花費已不存在輸出的交易可能殘留在記憶體池中，損壞其狀態，並阻止區塊模板的生成，直到節點重啟為止。

實際風險範圍有限但影響重大。運行受影響版本的礦工節點若遭遇鏈重組，可能無聲地喪失組裝新區塊的能力，在營運者察覺並重啟程序之前錯失區塊獎勵。由於鏈重組是 Bitcoin 運作中正常（儘管不常見）的一部分，此情境並非純理論。

此次披露的核心事實：

• Bitcoin Core 已在 v28.3、v29.2 與 v30.0 中發布修補程式，修復此可能在鏈重組後導致礦工節點停擺的高危漏洞。
• 風險涉及的是礦工連續營運，而非整個 Bitcoin 網路，且未證實有任何遭利用的情況。
• 運行 28.0–28.2 或 29.0–29.1 版本的節點營運者與礦工應查閱官方公告並進行升級。
• 安全研究員 Niklas Goegge 於 2025 年 9 月 26 日回報此缺陷。開發者 Greg Sanders 三天後開啟修復 PR #33504；該 PR 於 2025 年 10 月 2 日合併，並向後移植（回溯應用於較舊的受支援版本線）至三個版本線：2025 年 10 月 10 日的 v30.0、10 月 14 日的 v29.2，以及 10 月 17 日的 v28.3。

礦工中斷可能如何向外擴散

礦工大約每十分鐘競爭一次，將新區塊附加到 Bitcoin 的鏈上。當節點無法構建有效的區塊模板時，便無法參與這場競爭。單一受影響節點離線僅損害其營運者自身；若大量運行同一易受攻擊軟體版本的節點同時失效，理論上可能拖慢整體網路的交易確認速度。

Bitcoin Core 官方公告證實，漏洞存在期間未發生任何利用行為，網路也未出現中斷。但此事件仍說明了礦工與節點營運者對 Core 程式碼庫的營運依賴，尤其是在引入 TRUC 等新型交易中繼功能時。

CVE-2025-62861 並非單獨披露。正如 Unchained Crypto 報導，Bitcoin Core 同時披露了另外兩個中等嚴重程度的漏洞：CVE-2025-62860，Tor 入站連線被錯誤授予白名單權限，影響大量主網節點；以及 CVE-2025-62859，惡意對等節點可透過濫用緊湊區塊（compact block）使區塊處理停滯。緊湊區塊是一種節省頻寬的中繼格式，節點之間交換交易的簡短引用而非完整區塊資料。三項修復均已在 2026 年 11 月 10 日的披露日期前發布。

加密社群在 X 上的反應相當克制，多數評論者指出修補程式早已推出超過一年。在一則 X 貼文中，@TFTC21 寫道，這個評級為 High 的最嚴重漏洞可能使礦工節點在鏈重組後無法構建區塊，直到重啟為止，並提醒仍在運行 29.2 或 30.0 以下版本的人多加留意。

漫長的封鎖期——以及新的披露政策

Bitcoin Core 在修復發布後將公開披露封鎖了約 396 天，特別等到存在漏洞的 29.x 版本線於 2026 年 10 月 27 日壽命終止——即該版本停止接收安全更新的時點——才公開。即使以該專案自身的負責任披露歷史標準來看，這段時間也明顯偏長。此類封鎖期是協調式漏洞披露的常見做法，即暫緩技術細節的公開，直到受影響的使用者有合理的升級時間窗口。

此時機也與 Bitcoin Core 的一項政策更新相吻合。該專案現在打算在修補完成後立即披露可被 AI 工具發現的漏洞，而非長期封鎖。正如 Decrypt 報導，此轉變反映出日益增長的疑慮：大型語言模型可能在營運者來不及升級之前，協助惡意行為者從修補差異中重新發現已知缺陷。

節點營運者、礦工與使用者接下來該怎麼做

運行 Bitcoin Core 28.0、28.1、28.2、29.0 或 29.1 版本的營運者，其軟體含有此高危礦工節點漏洞。已修復的版本為 v28.3、v29.2 與 v30.0。節點營運者與礦工基礎設施團隊在升級前應查閱官方 CVE 公告及其內部部署流程，因為任何重大節點軟體更新本身都帶有營運風險，應先在測試環境中驗證。

未直接運行 Bitcoin Core 或未管理礦工基礎設施的使用者無需立即採取任何行動。漏洞存在期間，Bitcoin 網路本身未受干擾，交易確認也未受影響。

Bitcoin 基礎設施的整體安全情勢近期受到關注，加密產業多起高知名度的安全事件令交易所與託管營運者保持警戒。Bitcoin Core 的披露屬於不同類別的風險，涉及的是開源節點軟體而非託管系統，但它強化了整個 Bitcoin 相關基礎設施及時更新軟體的必要性。

礦工營運者尤其應將兩個中等嚴重程度的 CVE 與高危漏洞同等看待。Tor 權限設定錯誤（CVE-2025-62860）與緊湊區塊停滯攻擊（CVE-2025-62859）均影響了生產環境的主網節點，並在同一發布週期內獲得修補。運行最新受支援版本可同時解決這三項問題。

Bitcoin Core 這項針對「可被 AI 發現漏洞」的新披露政策，顯示未來的修補週期從修復到公開公告的速度可能加快。對礦場營運與節點營運者而言，這縮短了修補程式推出與漏洞細節廣為人知之間的窗口期，使快速升級的節奏比以往更加重要。

編輯註記：本文已由 CoinWy QC 團隊於 2026 年 11 月 11 日發布前審核，檢查項目包括標題準確性、原創價值、事實一致性、元資料、商業揭露與作者聲明。CoinWy 使用 AI 進行研究、撰稿與審核；其編輯團隊對每篇文章負責，並在必要時更正或撤回文章。

免責聲明：本文僅供資訊參考，不構成財務或投資建議。加密貨幣與數位資產市場存在重大風險，做任何決定前請務必自行研究。