比特币核心高危漏洞披露
比特币核心开发者近日披露了一个高危漏洞，该漏洞可能允许矿工远程崩溃某些比特币节点。该问题被追踪为CVE-2024-52911，影响了比特币核心版本0.14.0及其之后的版本，直到28.x版本。该漏洞已在2025年4月发布的比特币核心29.0版本中修复。
漏洞细节
比特币核心于2026年5月5日公开了该问题，此时最后一个受影响的28.x版本已于2024年4月19日停止支持。该问题涉及比特币核心在区块验证过程中的脚本解释器。比特币核心表示，特制的区块可能导致节点在数据已被释放后仍然访问内存。
“在验证过程中，比特币核心会预先计算交易输入数据，并将脚本检查发送到后台线程。”
在某些情况下，无效的区块可能会破坏缓存数据，而另一个线程仍试图读取这些数据。比特币核心表示，这可能允许拥有足够工作量证明的攻击者崩溃受害节点。尽管区块数据的限制使得这种结果“不太可能”，但仍有可能导致远程代码执行。
攻击实施难度
该攻击并不容易实施，矿工需要生成一个特制的区块，并且必须拥有足够的工作量证明才能达到链顶。这使得攻击成本高昂，因为这样的区块是无效的，无法获得正常的区块奖励，攻击者不得不花费算力而无法获得通常的挖矿收益。
比特币核心并未表示该漏洞已在实际攻击中被利用。该公告专注于漏洞、修复和披露时间表。该漏洞并未改变比特币的共识规则，而是与比特币核心软件中的内存处理有关，并不影响有效比特币交易或区块的定义。
漏洞报告与修复
麻省理工学院数字货币倡议的Cory Fields于2024年11月2日私下报告了该漏洞。比特币核心表示，该报告包括了一个概念验证和减少风险的建议方案。Pieter Wuille在四天后通过PR 31112推送了一个隐秘修复，该拉取请求于2024年12月3日合并，随后比特币核心29.0版本于2025年4月发布，包含了该修复。
用户更新与安全隐患
该公告遵循了比特币核心对高危漏洞的披露政策，规定在最后一个受影响版本停止支持后，才会披露高危问题。此外，使用比特币核心29.0之前版本的节点运营商仍面临旧漏洞。比特币核心不会自动更新，因此用户必须手动安装新版本。
过去关于区块链去中心化风险的报告显示，在2021年6月，21%的比特币节点运行的是过时的比特币核心软件。这一背景表明，旧客户端版本在修复发布后仍可能成为安全隐患。
