Das Team hinter Core Lightning (CLN), der Open-Source-Node-Implementierung für das Bitcoin Lightning Network von Blockstream, hat Betreiber älterer Versionen nach Berichten über Angriffe auf ungepatchte Nodes zu einem sofortigen Upgrade aufgefordert.

„Dringendes Sicherheitsupdate: Wenn ihr Version 26.06.7 oder älter betreibt, bitte so schnell wie möglich auf die neueste Version upgraden“, erklärte das Team am Freitag.

Core Lightning gab nicht an, welche Schwachstellen die Angreifer ausnutzten oder welche Auswirkungen die Aktivitäten haben könnten. Cointelegraph hat Core Lightning um eine Stellungnahme gebeten.

Am 16. September teilte Core Lightning mit, dass man Berichten über ein mögliches Problem nachgehe, das experimentelle Funktionen der Implementierung betreffen und Nutzer-gelder gefährden könnte. Etwa sechs Tage später, am 22. September, wurde Version 26.06.8 veröffentlicht, die Fehlerbehebungen sowie Patches für „verantwortungsvoll von mehreren Quellen gemeldete Schwachstellen“ enthielt. In den Release Notes werden das Bitcoin Red Team, 12 weitere namentlich genannte Einzelpersonen und Gruppen sowie anonyme Melder gewürdigt.

Laut Changelog behoben die Korrekturen Fehler, die Nodes von Absendern zum Absturz bringen konnten, Anfragen, die den Speicher der REST-Schnittstelle ausschöpfen konnten, sowie einen Channel-Closing-Bug, der dazu führen konnte, dass Nutzer Gelder durch eine Strafzahlung verloren. Im Lightning Network sind Strafzahlungen der Mechanismus des Protokolls, um einen Node zu bestrafen, der versucht, einen Channel mit veralteten Salden zu schließen – genau das macht diesen Bug zu einem direkten Weg, Channel-Guthaben zu verlieren. Das Release enthielt zudem absichtlich einige Tests nicht, um Angreifern das Reverse Engineering und die Ausnutzung der Schwachstellen während der Upgrades zu erschweren.

Diese Offenlegungen zeigen, was für Node-Betreiber auf dem Spiel steht: Lightning-Nodes verwalten die in Payment Channels gebundenen Guthaben und leiten Zahlungen durch das Netzwerk, sodass eine Schwachstelle in einer weit verbreiteten Implementierung wie Core Lightning zu einem direkten finanziellen Risiko führen kann – und kein gewöhnlicher Softwarefehler ist.

Die Warnung folgt auf einen früheren Vorfall im August, als Core Lightning mitteilte, an einer koordinierten Behebung zu arbeiten, nachdem in den vergangenen Wochen eine große Anzahl von KI-generierten Common Vulnerabilities and Exposures (CVE)-Mungen geprüft worden war. Zwei Tage später veröffentlichte das Team Version 26.06.7, um die bestätigten Schwachstellen zu beheben.

Wie es weitergeht, hängt von Details ab, die Core Lightning noch aussteht: Die gezielten Schwachstellen bleiben unbenannt; eine weitere Empfehlung oder eine Reaktion auf die Stellungnahmeanfrage würde das Ausmaß der Angriffe auf Nodes mit ungepatchten Versionen klarer machen.