Bitcoin Core 高危漏洞修复：挖矿暂停风险与 AI 扫描新常态

据 Woofun AI 消息， Core 项目于 11 月 10 日发布安全公告，确认修复了 3 个软件缺陷，其中包含 1 个可能导致挖矿作业完全停滞的高严重性故障。

这一技术维护行动虽未引发市场恐慌，却深刻揭示了在人工智能辅助代码扫描成为常态的背景下，开源协议底层基础设施所面临的新挑战。对于依赖旧版本运行的节点而言，此次更新不仅是技术补丁的获取，更是避免潜在运营中断的必要举措。核心事实在于，尽管漏洞已被修补且无证据表明曾被利用，但其暴露出的内存池处理逻辑缺陷，曾一度让部分节点的区块模板生成功能陷入瘫痪，直至重启方可恢复。

这一事件标志着 Bitcoin 生态在追求去中心化共识的同时，其客户端软件的健壮性正接受着来自自动化安全工具的更严苛审视。

高危漏洞 CVE-2025-62861 的技术机理根植于内存池（mempool）在链重组过程中的状态不一致问题。该缺陷直接导致受影响的节点无法生成有效的区块模板，进而使得连接至这些节点的挖矿者无法创建新区块，除非手动执行节点重新启动操作。从技术细节来看，这一故障与 TRUC 交易密切相关，这是一种由 BIP-431 定义的第三版交易类型，其规则允许一笔交易仅拥有一个未确认的父交易和一个未确认的子交易。

值得注意的是，TRUC 规则属于中继策略而非共识机制，这意味着一个在共识层面完全有效的区块，可能包含被内存池拒绝的交易结构。 28.0 版本引入了'兄弟节点驱逐'机制，旨在优化内存池空间：当一笔新交易试图让某个 TRUC 父节点拥有第二个未确认的子节点时，现有的子节点将被视为替代候选，若新交易支付的费用更高，则依据'按费替换'规则驱逐旧子节点。

然而，问题爆发于链重组期间。此时，来自断开连接区块的交易会携带 bypass_limits 标志被重新放回内存池，该标志本意是允许交易在不受反垃圾信息限制或拓扑结构约束的情况下完整恢复。但由于'兄弟节点驱逐'机制并未受 bypass_limits 标志的控制，TRUC 规则的执行在交易重新添加过程中仍在继续。这导致链重组可能恢复那种在单个区块内部合法、却违反 TRUC 内存池限制的交易结构。节点因此错误地驱逐交易，内存池陷入状态不一致，区块模板生成无法通过有效性检查。对于矿池运营者而言，这意味着获取区块奖励的工作被迫暂停，直到节点重启并从头重新构建内存池。

漏洞的发现与修复时间线清晰地展示了开发团队的响应节奏。据披露，该漏洞由安全研究人员 于 2025 年 9 月 26 日首次发现，随后开发者 提出了具体的修复方案。修复后的版本在 2025 年 10 月陆续推出：10 月 10 日发布了 30.0 版本，10 月 14 日发布了 29.2 版本，同时为旧系列推出了 28.3 版本。相比之下，安全公告的发布时间为 11 月 10 日，修复补丁的发布远远早于公开披露。受影响的版本范围明确界定为 28.0 至 28.2 版本以及 29.0 至 29.1 版本的 Bitcoin Core。开发者强调，目前并未发现任何证据表明这些漏洞已被恶意利用。

这一时间差反映了项目方在平衡安全披露与用户升级窗口之间的策略考量，同时也为运营者提供了充足的缓冲期来部署更新，避免在公告发布瞬间引发大规模的紧急运维压力。