白名单本是给自己人开的门，结果变成了对所有人开门
11 月 10 日，Bitcoin Core 披露三个漏洞，最值得看的是 CVE-2025-62860
中危，影响 28.3、29.2、30.0 之前的版本
通过 Tor 连进来的外部连接，IP 显示的是本地 Tor 软件的地址
这地址若落在 -whitelist 配的信任 IP 段里，Core 就把陌生人当成了白名单里的自己人
一进白名单，防 DoS 限制解除，隐私泄露的缓解措施也一起关掉
为什么波及数千个主网节点
不是 Core 默认设置有问题，没设过非默认 -whitelist 的节点从未受影响
是供应商把 Core 和 Tor 打包，又顺手把 -whitelist 配成匹配 Tor 的地址段
一个图方便的默认值，把门对所有人打开了
这次丢的不是币，是防护
垃圾交易能不限速灌进来，隐私保护失效
私钥没被偷，$BTC 供应量规则没变，你手里的数量也没变
削弱的是节点的免疫系统
同一天还披露了两个，一高危一中危
三个漏洞 2025 年 10 月就修好了，公开是今年 11 月 10 日
29.x 系列 10 月 27 日停止维护，公告 11 月 10 日才发
还在跑 29.x 的人，刚知道有漏洞时，已经没有安全更新可拿
说早了是给攻击者发说明书，说晚了是让老用户裸奔，这是披露政策的死结
我的判断
真正的问题不在代码，在集成——供应商一个默认配置，决定成千上万节点的安全水位
触发条件是“非默认”，普通人不直接受影响，官方也没发现主动利用
最没被解决的，是“我以为我很安全”和“我的配置来自别人”之间的落差
看这类新闻，问三句
影响的是钱，还是防护
触发条件是不是非默认配置，我到底改过没有
修复版什么时候出，公开什么时候，中间空了多久
别人给你的默认配置，一定要自己看一遍
你的配置是谁写的，供应商、教程，还是你自己
Bitcoin Core 一年多后才公开，你觉得是负责任，还是太慢
#比特币Core披露Tor流量漏洞
11 月 10 日，Bitcoin Core 披露三个漏洞，最值得看的是 CVE-2025-62860
中危，影响 28.3、29.2、30.0 之前的版本
通过 Tor 连进来的外部连接，IP 显示的是本地 Tor 软件的地址
这地址若落在 -whitelist 配的信任 IP 段里，Core 就把陌生人当成了白名单里的自己人
一进白名单，防 DoS 限制解除，隐私泄露的缓解措施也一起关掉
为什么波及数千个主网节点
不是 Core 默认设置有问题，没设过非默认 -whitelist 的节点从未受影响
是供应商把 Core 和 Tor 打包，又顺手把 -whitelist 配成匹配 Tor 的地址段
一个图方便的默认值，把门对所有人打开了
这次丢的不是币，是防护
垃圾交易能不限速灌进来，隐私保护失效
私钥没被偷，$BTC 供应量规则没变，你手里的数量也没变
削弱的是节点的免疫系统
同一天还披露了两个，一高危一中危
三个漏洞 2025 年 10 月就修好了，公开是今年 11 月 10 日
29.x 系列 10 月 27 日停止维护，公告 11 月 10 日才发
还在跑 29.x 的人，刚知道有漏洞时，已经没有安全更新可拿
说早了是给攻击者发说明书，说晚了是让老用户裸奔，这是披露政策的死结
我的判断
真正的问题不在代码，在集成——供应商一个默认配置，决定成千上万节点的安全水位
触发条件是“非默认”，普通人不直接受影响，官方也没发现主动利用
最没被解决的，是“我以为我很安全”和“我的配置来自别人”之间的落差
看这类新闻，问三句
影响的是钱，还是防护
触发条件是不是非默认配置，我到底改过没有
修复版什么时候出，公开什么时候，中间空了多久
别人给你的默认配置，一定要自己看一遍
你的配置是谁写的，供应商、教程，还是你自己
Bitcoin Core 一年多后才公开，你觉得是负责任，还是太慢
#比特币Core披露Tor流量漏洞