比特币核心解除保密协议：“对易于发现的缺陷采取错误的权衡”_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

比特币核心解除保密协议：“对易于发现的缺陷采取错误的权衡”

2026-10-24 03:23:09

比特币核心更改安全漏洞披露政策：易被发现的漏洞将即时公开

比特币核心（Bitcoin Core）已修改其最重要的比特币软件中安全漏洞公开的规则。此前，任何报告若存在轻易可复现的缺陷，通常会引发长达数月的沉默期；而现在，针对所有仍在维护的主要版本，将立即发布补丁点版本，并在同日发布安全公告。这一变更于2026年10月22日16:06正式纳入bitcoincore.org上的披露政策。

对于比特币持有者而言，这并非开发者世界的边缘注脚。该政策直接决定了修复后的漏洞多快能到达用户手中，同时也决定了攻击者在等待期间拥有多少先发优势。在2026年10月23日，比特币价格约为每枚81,400美元，整个钱包的价值都取决于这一问题的解决速度。

10月22日比特币核心在政策上做出了哪些改变

比特币核心是比特币网络的参考软件，负责验证区块、维护区块链并协助确定哪些交易有效。大多数运行自己节点的用户实际上都在运行此软件。

根据其自身说明，该政策将漏洞分为四类。此次新增的并非第五类，而是一个贯穿各类别的属性：在初步评估时，比特币核心可以将报告的缺陷标记为“易于发现”（easily discoverable）。一旦报告附带此属性，之前的等待期即告取消。

整个过程记录透明。开发者Antoine Poinsot于2026年10月16日以“更新易于发现漏洞的安全政策”为题提交了拉取请求1281。经过十五条评论后，由另一位核心维护者于10月22日合并。仅更改了一个文件，增加了十行代码，删除了一行。因此，这不再是提案，而是生效的政策。

“易于发现”：政策措辞中的新属性

根据政策定义，“易于发现”意味着通过最小努力即可找到的漏洞，例如通过对语言模型发出简单提示即可找到。这是完整的定义，且故意保持宽泛。分类明确不限于实际使用语言模型发现的漏洞；简单的提示仅作为衡量努力的标尺，而非对工具的规定。

当报告带有此属性时，政策规定：比特币核心将尽快为每个受维护的主要版本发布包含修复程序的点版本，并发布安全公告，同时不适用通常依赖严重程度的保密期。虽然仍存在发布细节前两周的前置预告，但这仅适用于真正处于保密期的漏洞。

保密期曾是公告前的屏障。对于一类漏洞而言，这一屏障已不复存在。

一年保密期与同日点版本的对比

为了理解这种差异的巨大程度，值得看看与之并存的截止日期。对于没有新属性的漏洞，一切照旧。

低严重性漏洞将在包含修复程序的主要版本发布两周后披露。中等和高严重性的漏洞，则仅在最后一个受影响版本结束维护两周后才披露。政策对此给出了具体数字：在首个包含修复程序的主要版本出现后大约一年。

由此可以看出旧规则的严苛之处，政策也公开指出了这一点。由于比特币核心依赖长期保密期，安全修复通常无法向后移植到旧版本中。它们只能随下一个主要版本到达用户手中。因此，那些停留在受维护但非最新主要版本上的用户，有时数月都无法收到修复程序。

Antoine Poinsot称对易发现结果的保密期是错误的权衡。Poinsot用安全政策中固有的权衡来解释这一步骤：透明度和更新时间背道而驰——开放性使攻击者和防御者处于平等地位，但可能在用户更新之前使漏洞公开。由于项目的性质和缓慢的更新文化，比特币核心选择了更长的保密期。

但对于易于发现的漏洞，这种权衡不再成立。Poinsot直言这是“错误的权衡”，并补充道：“保密期收效甚微，却延迟了修复版本的可用性。”他指出，理由是容易重新发现的漏洞报告数量上升，并将此归因于语言模型显著降低了发现某些类型错误或识别隐藏修复程序的门槛。

这句话的后半部分更为令人不安。过去，开源代码中静默插入的修复程序很难被识别出来。如果现在可以自动追踪，那么保密期反而泄露了它试图隐藏的漏洞。

大型语言模型降低门槛，红队测试用数据证实

CoinDesk在2026年10月23日报道的一项测试显示了局势的转变程度。一个名为“比特币红队”的志愿者团体（据该报道由十六名开发人员组成）于2026年7月底让AI模型扫描了390个比特币项目，据报道耗时约一天。记录了4,962项发现，其中85项被归类为关键级别。

这些数字是原始发现，并非确认的漏洞，且关于该测试的报告各不相同；一份报告指出只有约五分之一的发现得到确认。尽管如此，量级依然显著：过去需要专家花费数周手动完成的工作，现在可以在一夜之间全面运行。

由此产生的损害在同一报告中得到了记录。BTCPay Server中存在的一个漏洞，该团体此前曾秘密报告，据报道在几天内就被用于实时商户服务器，并清空了闪电网络节点。Core Lightning于2026年8月呼吁其运营商切断连接，因为发送给小型团队的AI生成报告被证明是真实的。在此过程中，人工审查仍然必要，因为一些机器生成的报告最终并未描述任何漏洞。

漏洞不一定非要由语言模型发现才会造成高昂代价，今年夏天的另一案例便证明了这一点。据报告，Coldcard硬件钱包固件中的一个错误自2021年起就潜伏着，导致7月30日在25分钟内提走了594枚比特币；四次提款累计损失近1.14亿美元。

未来，点版本将同时发布给所有受维护的主要版本

三个主要版本被视为受维护状态：29.x、30.x 和 31.x。“所有受维护的主要版本”是新规则的关键半句，因为它决定了点版本是否能到达你手中。比特币核心在此处保持了简洁的承诺：最后三个主要版本始终受维护，正如bitcoincore.org上的项目生命周期计划所述。

目前共有三个版本。31.x版于2026年4月19日出现，是当前版本。30.x版始于2025年10月10日，29.x版始于2025年4月14日。维护结束与即将到来的主要版本挂钩，而非固定日期。28.x版于2026年4月19日退出维护，因此在新规则下也不会收到点版本。

如何检查自己的节点运行的核心版本

如果你运行自己的节点，版本号是决定你处境的关键细节。它出现在比特币核心界面的“程序信息”菜单项下，在命令行中调用`bitcoin-cli -version`也可获取。如果第一个数字低于29，你就处于维护范围之外，此处描述的修复程序将无法到达你手中。

现在有两个因素比以前更重要。首先，值得关注项目的安全公告，因为公告和修复版本将来将在同一天出现，提前量已消失。其次，对你的不利反应时间变短了：随着发布，细节公开，不更新的继续带着已知漏洞运行。计算机或手机上的软件钱包也适用同一原则。

无自有节点的持有者责任发生转移

德国的大多数投资者并不运行自己的节点。对他们而言，这一变化间接生效，即通过后台运行比特币核心的服务实现。这包括交易所、托管商、支付服务提供商以及某些钱包应用背后的服务器。

对新规则而言，这首先是好消息。以前必须等待主要版本的运营商现在会收到他们正在运行的版本的点版本修复。这降低了更新的门槛。同时，快速更新的压力增大，因为漏洞细节在同一时刻公开。

硬件钱包和交易所遵循相同的披露规则

这里需要进行一点限定，以免高估这一变化的影响范围。这涉及比特币核心，而非整个比特币工具包。硬件钱包、钱包应用、支付服务器和闪电网络实现各有自己的政策，今年夏天的案例大多来自这些项目。提供商跟进固件和应用的速度仍是一个悬而未决的问题。

对你而言这意味着：选择自我托管还是他人托管，仅仅改变了谁承担更新的责任，并没有消除这项任务。自我托管者需承担节点和钱包的版本维护工作。将资产存放在托管方的用户则依赖该公司技术及时安装点版本，以控制权换取责任。

还有一个问题尚待观察。截至2026年10月23日，CoinDesk报道称尚无漏洞被归类为新规则下的类别。实践中“尽可能快”有多短，只有在第一个真实案例中才能显现。Poinsot也承认，此类修复在到达用户手中之前成熟时间较短。相比之下，他拒绝了一项完全放弃安全公告的提议，认为在不提及细节的情况下告知用户漏洞可能会造成不必要的额外风险。

行动建议

确立版本号

如果你有自有节点，请检查第一个数字是否为29、30或31。如果低于此数，请更新至受维护的版本。对于钱包端，软件钱包比较有助于了解提供商如何提供更新。

核实硬件钱包固件

据报告，Coldcard的漏洞在固件中潜伏了四年。检查你上次更新的时间，以及你的型号如何接收更新；硬件钱包比较将提供商并列展示。

厘清责任

决定在你的情况下谁承担更新工作。如果部分资产存放在托管方，请检查其技术声明；交易所比较提供了对提供商的评估。

（截至2026年10月23日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文