Bitcoin Core 周二一次公布三个安全漏洞的细节，全部在 2025 年 10 月就已修补，却压了 13 个月才对外说明。 其中一项让数千个对外可达的主网节点，把所有经 Tor 进来的陌生连线都当成受信任的电脑；另一项高风险漏洞则会让矿工节点产不出有效区块范本，直到有人重启。 第三项能让恶意对等节点把区块处理卡住 10 分钟，而且可以无限次重来。 （前情提要：Bitcoin Core 首爆记忆体漏洞！ 矿工可远端执行他人节点程式码，全网 43% 节点未修补） （背景补充：AI 正逼企业偿还拖了 40 年的技术债） 比特币 Core 在 11 月 10 日一次公布三个安全公告，三项漏洞全部已在 2025 年 10 月的版本里修掉，细节却压了 13 个月才对外说明。 其中最容易被低估的一项，是让数千个对外可达的主网节点，把每一个经 Tor 进来的陌生连线都当成自己人。 外来连线怎么变成「受信任」 先看节点的角色。 节点是一台检查、转发比特币交易，并储存完整区块链的电脑，它会限制外部连线能送进多少流量，用来挡住把节点淹掉的尝试。 Bitcoin Core 的 whitelist 设定，则是对操作者信任的连线放宽这些限制，例如同一个区域网路里的其他机器。 问题出在厂商把 Bitcoin Core 与 Tor 绑在一起出货。 Tor 的用途是隐藏网路位址，而经 Tor 进来的连线，看在节点眼里，来源 IP 是那支 Tor 常驻程式的位址，通常和节点同一台机器、同一个区网。 只要这个位址落在 whitelist 指定的网段里，外部访客就跟著继承了受信任的许可权。 依该则公告的说法，结果是「数千个对外可达的主网节点，把所有传入的 Tor 连线都放进白名单」。 没设定 whitelist 的节点从头到尾不受影响。 这条被编号 CVE-2025-62860，评为中风险，由 Martin Zumsande 与 Antoine Poinsot 在 2025 年 9 月 12 日通报。 Zumsande 三天后就送出修补，在套用白名单许可权时排除 Tor 的传入连线。 修补进了 28. 3、29. 2 与 30. 0；30. 0 之后，走洋葱位址进来的连线永远不会被放进白名单。 Poinsot 另在 9 月 19 日私下通知受影响的软体供应商该怎么处理，公告没有点名是哪些厂商。
- 这条被编号 CVE-2025-62860，评为中风险，由 Martin Zumsande 与 Antoine Poinsot 在 2025 年 9 月 12 日通报。
- 修补进了 28.
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。