Core Lightning (CLN), eine Open-Source-Implementierung des Lightning Network von Bitcoin, hat mehrere Schwachstellen bestätigt und Node-Betreiber zur Installation eines bevorstehenden Sicherheitsupdates aufgerufen.

In einer Ankündigung am Donnerstag auf X erklärte Core Lightning, das Projekt habe eine große Anzahl KI-generierter Berichte zu Common Vulnerabilities and Exposures (CVE) geprüft und festgestellt, dass mehrere davon echt sind. Das Projekt riet Betreibern, ihre Nodes nicht vollständig herunterzufahren, sondern sie mit „--offline“ neu zu starten – einer Einstellung, die verhindert, dass Zahlungen in die Node eingehen, sie verlassen oder über sie weitergeleitet werden.

Die schiere Menge der Einreichungen spiegelt einen breiteren Trend in der Open-Source-Sicherheit wider: Maintainer zahlreicher Projekte haben einen Anstieg KI-generierter Schwachstellenberichte gemeldet, von denen die meisten ungültig sind. Daniel Stenberg, Maintainer von curl, beschrieb Anfang 2025 eine Flut maschinell eingereichter Berichte an sein Projekt, die fast ausschließlich falsch waren. Die Überprüfung von Core Lightning kam demgegenüber zu dem Ergebnis, dass mehrere der eingegangenen Berichte echt waren.

In einem nachfolgenden Beitrag stellte Core Lightning klar, dass ein Upgrade die primäre Empfehlung des Projekts sei und das Neustarten mit --offline eine Alternative für Betreiber darstelle, die noch nicht aktualisiert haben. Diese Anweisung gibt Betreibern eine Möglichkeit, ihre Nodes bis zum Upgrade zu schützen, ohne die zugrunde liegende Software vollständig herunterzufahren.

Core Lightning erläuterte die Begründung hinter dieser Empfehlung: Ein aktiver Daemon kann die Bitcoin-Blockchain weiterhin verfolgen und reagieren, falls eine Gegenpartei einen Channel per Force-Close schließt – was eine vollständig gestoppte Node nicht kann. Die Sorge ist strukturell im Lightning Network angelegt: Jede Channel-Partei kann einseitig einen Channel-Zustand on-chain übertragen, wobei Guthaben mit Transaktionsgebühren und eingebauten Zeitverzögerungen abgewickelt werden; eine Node, die die Blockchain nicht beobachtet, kann eine veraltete Übertragung innerhalb dieses Zeitfensters nicht anfechten. Viele Betreiber setzen als zusätzliche Absicherung Watchtowers ein – Dienste, die im Auftrag einer Node die Blockchain überwachen –, doch die Empfehlung von Core Lightning lautete in diesem Fall, den Daemon selbst laufen zu lassen. Betreibern, die ihre Node mit --offline starten, wurde geraten, das Flag nach dem Upgrade zu entfernen; andernfalls bleiben ihre Nodes vom Netz getrennt.

Core Lightning hat weder Art noch Schwere der neu bestätigten Schwachstellen offengelegt, keine CVE-Identifikatoren veröffentlicht und auch keine damit zusammenhängenden Angriffe oder Verluste gemeldet. Ein Veröffentlichungsdatum für das bevorstehende Update wurde ebenfalls nicht genannt.

Core Lightning, früher unter dem Namen c-lightning bekannt und ursprünglich von Blockstream entwickelt, ist neben LND, das von Lightning Labs betreut wird, und Eclair, das vom Pariser Unternehmen ACINQ gepflegt wird, eine der wichtigsten Open-Source-Implementierungen des Lightning Network; die mobile Wallet Phoenix basiert auf dieser Implementierung. Das Lightning Network ist ein Layer-2-Protokoll über Bitcoin, das Zahlungen über Off-Chain-Channels leitet und dadurch schnellere und günstigere Transaktionen als On-Chain-Bitcoin-Zahlungen ermöglicht; es bildet die Grundlage für eine Reihe von Consumer-Wallets und Zahlungsdiensten. CVEs sind standardisierte öffentliche Identifikatoren, mit denen bekannte Sicherheitslücken in Software nachverfolgt werden.

Die neu bestätigten Schwachstellen sind nicht identisch mit Remote-Denial-of-Service-Lücken, die im Mai und im Juli offengelegt und in früheren Versionen behoben wurden. Beide Berichte wurden erst nach Auslieferung der Fixes im Forum Delving Bitcoin veröffentlicht – im Einklang mit der in der Open-Source-Sicherheit üblichen Praxis der koordinierten Veröffentlichung, technische Details zurückzuhalten, bis ein Patch verfügbar ist.