Core Lightning hat Bitcoin-Lightning-Node-Betreiber dringend empfohlen, auf Version 26.06.7 zu aktualisieren, nachdem Entwickler mehrere Sicherheitslücken in früheren Versionen der Open-Source-Payment-Software bestätigt hatten. Der Sicherheitshinweis folgte auf eine Welle KI-generierter Sicherheitsberichte, die half, die Schwachstellen aufzudecken.

Version 26.06.7 wurde am 28. August veröffentlicht, die Details zu den Schwachstellen wurden zunächst unter einer zweiwöchigen Embargofrist zurückgehalten. Die Verzögerung gab Betreibern ein Zeitfenster, um die Fixes zu installieren, bevor Angreifer die Änderungen untersuchen konnten – ein koordiniertes Disclosure-Muster, wie es in der Open-Source-Sicherheitsarbeit üblich ist, bei dem Patches zuerst ausgeliefert werden und die technischen Details erst nach Ablauf des Zeitfensters veröffentlicht werden. Laut CoinDesk fanden die Entwickler zum Zeitpunkt der Warnung keine Hinweise darauf, dass die Schwachstellen aktiv ausgenutzt wurden.

Warum das Update wichtig ist

Core Lightning, allgemein als CLN bekannt, ermöglicht Betreibern das Senden, Empfangen und Weiterleiten von Bitcoin-Zahlungen über das Lightning Network, eine zweite Schicht, in der die Node-Software Payment-Kanäle verwaltet und den jeweiligen aktuellen Saldo verfolgt. Ein kompromittierter Node kann die in Lightning-Payment-Kanälen gehaltenen Gelder gefährden.

Betreibern, die nicht sofort upgraden können, empfahlen die Entwickler, CLN mit der Option –offline neu zu starten, anstatt den Rechner herunterzufahren. Im Offline-Modus ist die Kommunikation mit anderen Lightning-Nodes blockiert, während die Software weiterhin die Bitcoin-Blockchain überwacht.

Dieser Unterschied ist bedeutend: Ein laufender Node kann bestimmte Versuche erkennen, Kanäle mit veralteten Salden zu schließen, während ein vollständig ausgeschalteter Rechner keinen solchen Schutz bietet. Das Projekt hat zudem die Unterstützung aller Versionen vor 26.06.7 eingestellt, wodurch das Upgrade der zentrale Sanierungsschritt für betroffene Betreiber ist.

Docker-Nutzer müssen eine zusätzliche Prüfung vornehmen

Während des anfänglichen Rollouts zeigte sich ein separates Problem für Betreiber, die Docker einsetzen. Einige zwischen dem 28. August und dem 1. September veröffentlichte Docker-Images zeigten zwar Version 26.06.7 an, enthielten jedoch nicht die vollständigen Sicherheitsfixes. Core hat die betroffenen Images später aktualisiert, und Betreiber, die diese während des betroffenen Zeitraums bezogen haben, sollten ihren Image-Digest überprüfen und die korrigierte Version beziehen. Da ein Digest ein inhaltsbasierter Bezeichner ist, der an den exakten Inhalt eines Images gebunden ist, kann die Überprüfung den korrigierten Rebuild von den unvollständigen Versionen unterscheiden, selbst wenn beide dieselbe Versionsnummer anzeigen.

Der Vorfall unterstreicht eine breitere Sicherheitsherausforderung für die Bitcoin-Infrastruktur: KI-Tools decken zunehmend Schwachstellen in Open-Source-Projekten auf, was die Sicherheitsforschung beschleunigt und zugleich den Druck auf die Maintainer erhöht, schnell zu reagieren. Für Lightning-Betreiber bleibt die unmittelbare Priorität, eine verifizierte, vollständig gepatchte Version zu betreiben, statt sich allein auf die von der Software angezeigte Versionsnummer zu verlassen.

Quelle: CryptoMeter io