Bitcoinjs-lib 修复影响矿工费用计算的两个漏洞

Bitcoinjs-lib 修复了两个可能导致比特币应用程序中矿工费用计算不正确的漏洞。这些安全更新于 10 月 26 日发布，包含在版本 5.2.2、6.1.9 和 7.0.4 中。这些问题主要影响部分签名比特币交易（PSBT），该交易由 BIP 174 定义，用于共享交易信息和签名。使用这些库的应用程序如果在没有独立验证的情况下信任 bitcoinjs-lib 的计算，可能会错误计算费用。第一个缺陷允许签名和费用核算使用不同的输入值，导致显著的差异。例如，一个演示显示实际费用为 900,000,000 satoshi，但仅报告为 200 satoshi。第二个缺陷涉及缺失的输入值记录，导致费用计算器将这些输入视为零，从而产生误导性的费用报告。一个示例显示真实费用为 91,000 satoshi，但报告为 1,000 satoshi。修复后的版本现在要求在费用计算期间为每个输入提供一个值，并拒绝冲突记录。受影响的版本包括 5.2.0 到 5.2.1、6.0.0 到 6.1.8 和 7.0.0 到 7.0.3。无法升级的用户应独立验证输出值，并在签名前拒绝冲突记录。