Decred修复关键漏洞，该漏洞可能导致混币去匿名化攻击

区块链文库报道：

Decred 发布强制更新 v2.1.6，修复关键共识漏洞及隐私风险

Decred 已发布强制性的软件补丁 v2.1.6，用于修复一个关键的共识漏洞、一种潜在的周期性混币去匿名化攻击，以及多项网络拒绝服务风险。

摘要

Decred 发布强制性 v2.1.6 版本，修复了一个关键的共识安全漏洞。该补丁阻止了涉及 Decred 交易混币系统的潜在周期性去匿名化攻击。此外，还修复了多项潜在的网络拒绝服务攻击路径和 SPV 验证问题。运行旧版本的用户被敦促升级，以避免在分叉后的不同网络上运行。

Decred 在 8 月 19 日的 X 平台帖子中表示，用户应尽快升级到新版本，因为该补丁包含影响共识、交易混币和网络操作的安全更改。该项目还表示，此次更新改善了混币会话过期的方式。

该补丁适用于 dcrd（Decred 的全节点软件），同时 dcrwallet 也发布了相关更改。软件包包含来自三位贡献者的 23 次提交，涉及 20 个文件。根据 GitHub 发布信息，开发人员在此次补丁中新增了 795 行代码，删除了 392 行代码。Dave Collins、Jamie Holdstock 和 Josh Rickmar 为 dcrd 版本做出了贡献。

除了共识修复外，开发人员还解决了多项潜在的网络拒绝服务攻击。Decred 尚未披露可能被利用的共识漏洞技术细节，但其发布说明强调所有网络用户都需要迁移到已修复的版本。

在 Decred 发布 X 公告时，Decrediton 的 Windows 版本尚未提供，项目方表示预计次日发布。目前 v2.1.6 的 GitHub 页面已列出 Windows 版本，以及 Linux 和 macOS 版本。

根据 Decred 的安装说明，用户下载软件后，还可以通过 SHA-256 哈希值和软件包提供的签名文件来验证发布文件。

钱包更改防止混币去匿名化攻击

dcrwallet v2.1.6 中的一系列独立修复直接针对 Decred 的交易混币系统。钱包版本更新了 mixclient 协议，以防止去匿名化攻击，并提高了配对版本，以建立混币会话参与者之间的兼容性。由于版本变更，运行 v2.1.6 的钱包将不会与旧版钱包进行混币，旧版本也不会与更新后的客户端参与会话。因此，Decred 要求所有使用旧版 dcrwallet 的用户升级。

开发人员还修复了混币过程中涉及责任分配的问题。在之前的行为中，错误启动责任分配的混币对等节点本身可能逃脱责任。另一项更改修复了混币会话过期后从 mixpool 中移除消息的问题。

Decred 使用 CoinShuffle++（CSPP）进行交易混币。项目文档将该系统描述为一种通过将参与者组合在混币过程中来匿名化输出地址的方法，同时单独处理找零，以减少混币与非混币未花费交易输出之间的关联。

根据项目历史文档，CoinShuffle++ 于 2019 年 8 月首次在 Decred 主网上线。混币购票功能也可使用该协议，在 Decred 购票前对拆分交易中的输出进行匿名化处理。

隐私功能也使得 DCR 在围绕隐私加密货币的讨论中保持热度。一篇 2026 年 5 月关于隐私币 ETF 的分析文章曾指出 Decred 的屏蔽交易功能，并探讨了不同隐私导向的加密货币在美国监管和托管框架下可能受到的处理方式。

网络和 SPV 保护获得额外修复

除了混币功能外，dcrwallet v2.1.6 还改变了钱包处理从网络接收交易的方式。根据发布说明，更新后的钱包在属于钱包的已花费输出的签名验证失败时，将拒绝记录该交易。

简化支付验证（SPV）对等节点在补丁中面临另一项检查。如果某个对等节点宣布的交易包含看起来花费了钱包拥有的输出，但签名脚本验证失败，那么该对等节点将被断开连接。开发人员还添加了钱包在 SPV 模式下运行时缺失的区块默克尔根验证。

SPV 允许钱包以不同于全节点的方式验证活动，因此验证检查是轻量级客户端评估区块链数据的重要部分。Decred 项目历史记录显示，其初始 dcrwallet SPV 实现于 2018 年 9 月，随后在 2020 年 2 月批准了一项共识更改，启用了旨在提高 SPV 钱包安全性的区块头承诺。

签名、对等节点断开和默克尔根更改的组合，与 dcrd v2.1.6 中包含的网络级别 DoS 修复相辅相成。Decred 的发布说明并未说明在补丁发布之前，已识别的攻击路径是否已被实际利用。

DCR 仍处于隐私代币市场之中

Decred 的隐私工具也影响了交易所和交易者将 DCR 与其他隐私导向加密货币归为一类的方式。在 2026 年 1 月的一次隐私币上涨行情中，DCR 在七天内上涨约 60%，而门罗币、达世币等隐私相关代币也出现了需求增长。

交易所对此类资产的处理方式各不相同。币安曾在 2023 年撤销了在欧洲部分地区下架多种隐私相关加密货币的计划，使 Decred、达世币、Zcash、PIVX、Navcoin、Secret 和 Verge 在法国、意大利、波兰和西班牙保持可用，但其他多项资产仍受到限制。

在软件方面，Decred 文档指出移动钱包不支持隐私混币或权益证明参与，建议需要这些功能的用户使用桌面钱包软件。v2.1.6 版本目前提供 Linux、macOS 和 Windows 版的 Decrediton 软件包，而命令行工具可通过 dcrinstall 单独安装。