Bitcoin Core于2026年11月10日公开中等严重性漏洞CVE-2025-62860：部分旧版本会将Tor入站连接错误纳入按IP范围配置的白名单，使这些连接获得原本授予可信对等节点的权限。修复已随2025年发布的30.0、29.2和28.3版本提供。问题涉及连接权限判断，影响取决于节点版本及其白名单配置。
Tor代理地址为何变成了信任依据
Bitcoin Core看到的Tor入站对等节点IP地址，是Tor守护进程的地址；该进程通常运行在同一台机器或本地网络内。这意味着，节点识别到的本地地址并不直接代表远端连接者的身份。
非默认选项-whitelist允许运营者按IP范围为可信对等节点配置白名单，并放宽多项拒绝服务（DoS）限制和防范隐私泄露的措施。在存在漏洞的版本中，只要Tor代理地址落入配置范围，经由该代理到达的Tor入站连接也会获得白名单权限。
从这一机制看，核心问题是信任范围被扩大：运营者对本地地址范围的授权，延伸到了通过Tor进入的远端连接。代理所在的位置因此被错误地当成了连接可信的依据。
数千节点受波及，但并非默认配置风险
部分广泛使用的软件供应商将Bitcoin Core与Tor守护进程打包，同时把-whitelist设为覆盖Tor守护进程地址的IP范围。一些Bitcoin Core客户端软件也有使用该选项的运行要求，且通常与Tor守护进程共同运行。这些部署安排使数千个可被连接的主网节点将所有Tor入站连接纳入白名单。
这一规模说明，安全边界不仅由Bitcoin Core自身的默认设置决定，也受到打包软件和配套客户端运行要求的影响。某项配置即使并非默认开启，仍可能通过常见部署方式广泛存在。
不过，受影响范围有明确条件：从未设置-whitelist选项的节点始终不受影响。使用Tor本身不足以判断节点存在此问题，还需结合软件版本、白名单范围与Tor代理地址之间的关系。
权限放宽影响防护，不能等同于已发生损失
白名单具有实际安全含义，因为它会放宽原本用于限制连接行为的防护措施。错误授权使普通Tor入站连接获得了超出预期的待遇，可能削弱节点应对拒绝服务行为及隐私泄露风险的能力。
我们的判断是，这起事件更值得关注的是权限边界失效，而不是将“数千节点受影响”理解为数千节点已遭攻击。公开信息说明了错误授权的机制与部署范围，但没有给出实际利用、资金损失或隐私泄露的统计。影响面与已经发生的损害应分别判断。
修复后的规则也反映了这一边界：通过onion绑定接收的Tor入站连接不再获得白名单权限。它直接切断了本地代理地址与远端连接授权之间的错误关联。
修复早于公开，版本核对仍需结合配置
Martin Zumsande与Antoine Poinsot发现并负责任地披露了该问题。两人于2025年9月12日向Bitcoin Core安全团队报告；修复提案PR #33395于9月15日提出，9月17日合并并回移至此前版本。Antoine同日通知Bitcoin Knots维护者Luke Dashjr，对方当天确认收到；9月19日，部分受影响软件供应商也获通知。
Bitcoin Core 30.0、29.2和28.3分别于2025年10月10日、14日和20日发布修复。30.0及后续版本，以及28.3、29.2和各自后续维护版本，均不再对白名单应用上述错误判断。时间线还列明，最后一个仍含漏洞的Bitcoin Core版本分支29.x于2026年10月27日结束生命周期。
对节点运营者而言，关键核对项是实际运行版本、是否启用-whitelist，以及相关IP范围是否覆盖Tor守护进程地址。采用打包方案的部署还需核对软件附带配置；仅凭是否启用Tor，或某个大版本名称，无法完整判断暴露情况。
