Core Lightning warnt Node-Betreiber vor Deaktivierung experimenteller Funktionen wegen Verlustrisiko
Wichtige Erkenntnisse
- •Core Lightning hat am 15. September eine Warnung veröffentlicht, in der Node-Betreiber aufgefordert werden, experimentelle Funktionen zu deaktivieren, da diese zu Geldverlusten führen könnten, während das Team das neu entdeckte untersucht.
- •Die Warnung betrifft nicht das Bitcoin-Hauptnetz und ist bereits die zweite Sicherheitswarnung von Core Lightning innerhalb weniger Wochen – nach einem Patch von Ende August für eine separate Welle von Bugs, von denen Unternehmen, Zahlungsanbieter und einzelne Betreiber betroffen sein konnten.
- •Die Probleme im August gingen auf eine hohe Zahl KI-generierter Berichte zurück; die Betreiber wurden angewiesen, die Nodes mit dem --offline-Flag neu zu starten, bevor ein Upgrade auf Version 26.06.7 als Behebung erfolgte.
- •Die technischen Details der Behebung in 26.06.7 wurden am 11. September auf GitHub veröffentlicht, nachdem eine zweiwöchige Embargofrist abgelaufen war – eine Verzögerung, die den Betreibern Zeit zum Upgrade gab, bevor Angreifer die Patches nachvollziehen konnten.
- •Das Lightning Development Kit sah sich im August einer eigenen Sicherheitskrise gegenüber, ohne beobachtete Verluste oder ausgenutzte Anwendungen – ein Zeichen dafür, dass KI-Tools zunehmend eingesetzt werden, um Open-Source-Bitcoin-Code nach Schwachstellen zu scannen.
Die Entwickler von Core Lightning haben alle Nutzer, die experimentelle Funktionen der Software aktiviert haben, gewarnt, diese zu deaktivieren – andernfalls drohe der Verlust von Geldern, während das Team versucht, ein kürzlich entdecktes Problem zu verstehen.
Die Warnung aus der Mitte des September ist bereits die zweite innerhalb weniger Wochen. Zuvor war Ende August ein Patch erschienen, der eine separate Welle von Bugs behob, von denen Unternehmen, Zahlungsanbieter und einzelne Betreiber hätten betroffen sein können, die Core-Lightning-Pakete (CLN) zum Betrieb von Nodes im Lightning Network von Bitcoin einsetzen. Die aktuelle Warnung betrifft nicht das Bitcoin-Hauptnetz.
Neue Risiko.warnung für Core-Lightning-Node-Betreiber
Core Lightning gab die neue Risiko.warnung am 15. September über X heraus und forderte die Betreiber auf, alle aktivierten experimentellen Funktionen sofort abzuschalten. Die Warnung wurde auch vom Blockchain-Sicherheitsunternehmen SlowMist in einem Beitrag auf X gemeldet.
Das Team erklärte nicht, was die experimentelle Funktion bewirkt oder wie sie ausgenutzt werden könnte. Das Risiko von Geldverlusten ist dennoch konkret: Diese Nodes halten BTC in Zahlungskanlen und leiten Gelder zwischen Nutzern weiter. Solange die Untersuchung läuft, bleibt die Deaktivierung der Funktionen die einzige Maßnahme, die das Team öffentlich von den Betreibern verlangt hat.
Ein ereignisreicher August, ausgelöst durch KI-generierte CVE-Berichte
Vor der September-Warnung arbeitete CLN daran, einen ereignisreichen August hinter sich zu lassen, der durch eine hohe Zahl KI-generierter CVE-Berichte verursacht worden war – öffentlich katalogisierte Meldungen von Softwaresicherheitslücken. Die Anweisung lautete damals, die Nodes mit dem --offline-Flag neu zu starten. Dadurch werden Peer-Verbindungen getrennt, sodass keine Zahlungen mehr über die Node laufen, während die Software die Blockchain weiterhin beobachtet.
Bis zum 28. August teilte das CLN-Team den Node-Betreibern mit, dass ein Upgrade auf Version 26.06.7 die Lösung für die im Laufe des Monats aufgetretenen Probleme sei. Die technischen Details dieser Behebung wurden am 11. September auf GitHub veröffentlicht, nachdem eine zweiwöchige Embargofrist abgelaufen war – eine Verzögerung, die den Betreibern Zeit gab, das Upgrade durchzuführen, bevor Angreifer die Patches nachvollziehen konnten.
KI-Tools werden zum Problem für Open-Source-Bitcoin
Das Lightning Development Kit (LDK), eine eigenständige Implementierung des Lightning Network, sah sich im August einer eigenen Sicherheitskrise gegenüber, was einen wachsenden Trend bestätigt: KI-Tools werden zunehmend eingesetzt, um Open-Source-Bitcoin-Code nach Sicherheitslücken zu durchsuchen. Die Maintainer von LDK berichteten von keinen beobachteten Verlusten oder ausgenutzten Anwendungen. Core Lightning und LDK werden von getrennten Teams als unabhängige Codebasen gepflegt, sodass jedes Projekt seine eigenen Sicherheitsprobleme verfolgt und offengelegt.
