比特幣核心揭露3項節點漏洞 最高「高風險」恐致礦工無法出塊、已修補

本文原刊於品傳媒：比特幣核心揭露3項節點漏洞 最高「高風險」恐致礦工無法出塊、已修補

〔品傳媒／綜合外電報導〕比特幣最主要的節點軟體 Bitcoin Core（比特幣核心）開發團隊於 11 月 10 日在官方安全公告中公開 3 項已修補漏洞的細節，其中編號 CVE-2025-62861 的漏洞被列為「高」嚴重等級，可能在區塊鏈重組（reorg）時讓節點的交易池（mempool）狀態錯亂，導致礦工節點無法產生新區塊、直到重新啟動為止。相關修補早在 2025 年 10 月推出的 30.0 版即已納入，並回補至 29.2 與 28.3 版，台灣時間 11 日上午起陸續由加密與資安媒體轉述；仍在執行舊版軟體的節點營運者與礦工，是這次揭露最直接相關的族群。

重點摘要：Bitcoin Core 於 11 月 10 日公開 CVE-2025-62861（高）、CVE-2025-62860（中）、CVE-2025-62859（中）三項漏洞，分別涉及礦工出塊範本、Tor 連線白名單與緊湊區塊（compact block）同步。三項漏洞都已在 30.0 與 29.2 版修補，其中兩項也回補至 28.3 版，此次是在最後一個受影響版本系列停止支援後依政策公開細節。官方公告描述的影響集中在出塊、連線防護與區塊同步，未提及資金遭竊風險。

比特幣核心高風險漏洞 CVE-2025-62861：區塊重組時誤刪交易、礦工恐無法出塊

根據 Bitcoin Core 官方公告，問題出在第 3 版（TRUC）交易的轉發政策。依 BIP 431 規範，TRUC 交易在交易池中最多只能有一筆未確認的上層交易與一筆未確認的下層交易。這是交易池層級的政策，而非共識規則，因此合法區塊中仍可能出現一筆父交易配多筆子交易的結構。28.0 版起導入的「手足交易驅逐」（sibling eviction）機制，會在新交易手續費足夠時，依手續費替換（RBF）規則把既有的子交易移出。

官方說明，發生區塊重組時，被斷開區塊內的交易會以「略過限制」（bypass_limits）的方式重新放回交易池，本意是完整還原先前已確認的交易；但手足交易驅逐的程式分支沒有受此設定約束，可能在還原過程中把某筆交易移出，卻留下花用其輸出的後續交易，讓交易池出現花用不存在輸出的矛盾狀態。影響所及，礦工節點組裝的區塊範本會無法通過有效性檢查，必須重新啟動、重新載入交易池後才能恢復出塊。

公告指出，此漏洞由 Niklas Goegge 於 2025 年 9 月 26 日向安全郵件列表通報，開發者 Greg Sanders 隨後提出 PR #33504，讓 TRUC 檢查在重組還原時不再執行。受影響版本為 28.0 至 28.2，以及 29.0 至 29.1。

三項漏洞一覽：受影響版本與修補版本

資料來源：Bitcoin Core 官方安全公告（2026 年 11 月 10 日），品傳媒整理

Tor 白名單漏洞曾波及數千個比特幣節點 緊湊區塊漏洞可拖延同步

中度風險的 CVE-2025-62860 影響範圍較廣。官方公告解釋，透過 Tor 連入的節點，在 Bitcoin Core 看來 IP 位址就是本機或區域網路上的 Tor 服務；若營運者以 -whitelist 參數把該網段列為信任對象，所有 Tor 入站連線都會一併獲得白名單權限，等於解除部分阻斷服務（DoS）限制與隱私外洩防護。官方指出，由於不少熱門廠商把 Bitcoin Core 與 Tor 打包並預設開啟該設定，主網上一度有數千個可連線節點對所有 Tor 入站連線開放白名單；未設定 -whitelist 的節點則從未受影響。公告也提到，通報者曾於 2025 年 9 月通知 Bitcoin Knots 維護者及多家受影響的軟體供應商。

資安媒體 Daily CyberSecurity 建議，若暫時無法升級，管理者應先從 -whitelist 設定中移除本機 Tor 代理的 IP。

另一項中度風險的 CVE-2025-62859 則與緊湊區塊有關。根據官方說明，受影響版本在重建緊湊區塊後，會先清除下載狀態、再檢查見證資料是否遭竄改；若檢查失敗，節點會轉而向同一個對等節點請求完整區塊，等待時間長達 10 分鐘。惡意節點可藉此拖延受害者處理區塊；若攻擊者控制受害者全部 3 個高頻寬對等節點，或受害者以 -blocksonly 模式執行，就能重複發動。此問題由 Eugene Siegel 於 2025 年 4 月通報。

為何現在才公開？29.x 版停止支援後依政策揭露

三份公告的時間線都顯示，最後一個受影響的 29.x 版本系列已於 2026 年 10 月 27 日結束支援，團隊隨後在 11 月 10 日公開細節。此輪揭露距修補版本上線已超過一年。PANews 在快訊中亦轉述了高風險漏洞的受影響版本與修補時程。Daily CyberSecurity 則指出，開發者表示目前並未發現針對這些漏洞的實際攻擊或公開攻擊工具。

這是 Bitcoin Core 半個月內第二波安全揭露。根據 TFTC 報導，團隊已於 10 月 28 日依新設的「易發現」快速揭露層級，公開 3 項由 AI 程式碼掃描等管道找到的漏洞，其中一項可讓對等節點耗盡 Windows、macOS 與 BSD 節點記憶體並使其當機，修補已納入 29.5、30.4、31.2 與 32.1 版。TFTC 指出，其中兩項由 Block 旗下 Spiral 開發者 Elias Rohrer 打造的自動化工具 Project Loupe 發現，從發現到推出修補版僅約 5 天。

比特幣行情：在 7.3 萬美元附近震盪 未見與漏洞消息直接連動

CoinGecko 數據顯示，截至台灣時間 11 月 11 日上午 10 時 45 分，比特幣報 73,415 美元、過去 24 小時下跌約 1.79%，以太幣報 2,054.94 美元、下跌約 2.91%，加密貨幣總市值約 2.46 兆美元，比特幣市佔率約 59.7%。目前未見媒體或分析機構將價格走勢歸因於此次漏洞揭露；市場仍在消化美國 10 月消費者物價指數高於預期的影響，可參考本網先前報導《美國10月CPI高於預期 比特幣下探7.3萬美元、以太幣逼近2,000美元》。關於比特幣交易池與區塊的近期動態，亦可參考《比特幣史上第二多交易區塊出爐》。

比特幣核心漏洞揭露後 投資人該注意什麼？

• 自行架設節點者確認版本：三項漏洞都已修補，但若仍執行 28.x、29.x 的舊版本，應對照官方公告確認是否在受影響範圍，並留意 29.x 已結束支援。
• 使用打包節點產品者留意廠商公告：Tor 白名單問題主要來自廠商預設設定，實際是否受影響應以廠商說明為準。
• 透過交易所持幣者無需過度解讀：公告描述的風險是節點運作層面，未提及私鑰或資金遭竊。
• 提防假冒「緊急升級」訊息：軟體應從官方網站下載，避免點擊社群或私訊中來路不明的連結。
• 價格仍受總經主導：單一資安消息與短線行情不宜直接畫上等號，徵理資料與聯準會動向仍是主要變數。

常見問題 FAQ

這次 Bitcoin Core 漏洞會導致比特幣被盜嗎？

官方公告描述的影響是礦工無法出塊、Tor 連線獲得不應有的信任權限，以及區塊處理可能被拖延，並未提及私鑰外洩或資金遭竊。

哪些 Bitcoin Core 版本已修補？

三項漏洞均已在 30.0 與 29.2 版修補，CVE-2025-62861 與 CVE-2025-62860 也回補至 28.3 版。之後推出的版本同樣包含修補。

什麼是 TRUC 交易？

TRUC 是 BIP 431 定義的第 3 版交易，在交易池中加入結構限制，最多只允許一筆未確認上層與一筆未確認下層交易，用以讓手續費替換更可預測。

為什麼修補一年多後才公開？

依公告時間線，團隊在最後一個受影響的 29.x 版本系列於 2026 年 10 月 27 日停止支援後，才公開漏洞細節，給予節點營運者充分升級時間。

參考資料

• Bitcoin Core：CVE-2025-62861 – Block template creation halted by TRUC sibling eviction during reorg
• Bitcoin Core：CVE-2025-62860 – Inbound Tor connections wrongly receive -whitelist permissions
• Bitcoin Core：CVE-2025-62859 – Block processing stall via witness malleation
• Daily CyberSecurity：Bitcoin Core Discloses Three Flaws Affecting Block Creation, Tor Peers, and Compact Blocks
• PANews：Bitcoin Core Discloses High-Severity Vulnerability: TRUC Rules During Reorgs Could Block Nodes From Producing Blocks, Fix Already Released
• TFTC：Bitcoin Core Discloses Three AI-Found Bugs Under New Fast-Track Rules
• CoinGecko：加密貨幣市場行情

※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。

《品傳媒》創立於 2023 年，秉持「報真導正」精神，提供即時的民生、政治、產業、國際與娛樂新聞，並首創「民意代表在地服務」專區，深耕虛擬貨幣、AI 短劇、電競等新興議題
官方網站：pinnews.com.tw
FB粉絲團：www.facebook.com/pinnews.com.tw