Das Lightning Development Kit (LDK), ein Software-Toolkit zum Erstellen von Bitcoin-Lightning-Network-Wallets und -Anwendungen, hat die Version 0.2.6 veröffentlicht. Das Update behebt Fehler, die es einem Angreifer ermöglichen könnten, einen kleinen Betrag aus den Mitteln eines Nodes auszugeben oder den Neustart eines Nodes zu verhindern.

Welche Fehler LDK v0.2.6 behebt

LDK wird von Entwicklern zum Erstellen von Wallets und Anwendungen für das Lightning Network verwendet, eine schnellere und kostengünstigere Zahlungsebene auf Basis von Bitcoin. Version 0.2.6 wurde am September 9, 2026 unter dem Titel „The More You Dig“ veröffentlicht. Laut den offiziellen Release Notes enthält das Update Fehlerbehebungen für einen Fehler bei der Gebühreninflation während eines Splices, eine Schwachstelle beim Neustart nach einer böswilligen Zahlung, einen separaten, durch einen Absturz verursachten Neustartfehler sowie fehlerhafte Ereignisse, die während der Splice-Verarbeitung erzeugt wurden.

Der Release beschreibt potenzielle Risiken. Er meldet keine beobachteten Verluste und nennt keine Anwendung, die ausgenutzt wurde. Das Fehlen eines solchen Berichts belegt jedoch nicht, dass es nie zu einer Ausnutzung gekommen ist. Die vorliegenden Informationen klären außerdem nicht, welche früheren Versionen betroffen sind, welchen vollständigen Bereich betroffener Versionen es gibt oder ob Backports verfügbar sind. Sie enthalten keine Schätzung der gefährdeten Mittel, der Zahl betroffener Nodes oder der Namen ausgenutzter Anwendungen.

Risiken durch Gelddiebstahl und Node-Neustarts

Das erste Problem ist eine Schwachstelle durch Gebühreninflation im Zusammenhang mit einem „Splice“. Dabei können Mittel zu einem offenen Lightning-Kanal hinzugefügt oder daraus entfernt werden, ohne ihn zu schließen. Eine böswillige Gegenpartei könnte möglicherweise einen kleinen Betrag aus den Mitteln eines Nodes ausgeben, wenn dieser Node einen Splice initiierte.

Die Fehlerbehebung verhindert, dass ein böswilliger Peer eine überhöhte Gebührenzuweisung erzwingt, wenn der Node zu einem Splice beiträgt. Ohne die Fehlerbehebung hätte die überschüssige Zuweisung an den Output des Peers gehen können, wie aus den Release Notes hervorgeht, die auf Issue #4905 verweisen.

Das zweite Problem ist eher ein operatives Risiko als eine Schwachstelle zum Gelddiebstahl. Ein unter Issue #4982 erfasster Payment-Denial-of-Service-Fehler könnte den Neustart eines Nodes verhindern. Das Problem konnte auftreten, wenn ein Node unmittelbar nach der Weiterleitung einer anderen gültigen Zahlung mit demselben payment_hash eine gefälschte Zahlungsanforderung, einen sogenannten HTLC, erhielt. Diese Abfolge konnte dazu führen, dass der ChannelManager des Nodes, sein zentraler Status-Tracker, während eines Neustarts nicht geladen werden konnte. Für Betreiber handelt es sich um ein Verfügbarkeitsproblem: Ein Node, der seinen ChannelManager nicht erneut laden kann, kann nach einem Neustart den normalen Betrieb nicht wieder aufnehmen.

Der Release nennt Erick Cestari als Urheber des Berichts zu diesem Neustartproblem.

LDK v0.2.6 behebt außerdem einen separaten Neustartfehler. Ein Absturz unmittelbar nachdem der ChainMonitor einen Kanal geschlossen hatte, der nie bestätigt worden war und nie Mittel gehalten hatte, konnte verhindern, dass der ChannelManager geladen wurde. Die Release Notes verweisen auf Issue #4983 und unterscheiden diesen absturzbedingten Fehler vom Angriff über eine böswillige Zahlung.

Darüber hinaus verhindert das Update, dass Fehler beim Schreiben in den Datenstrom während der Serialisierung des ChannelManagers falsche SpliceNegotiationFailed- und DiscardFunding-Ereignisse für weiterhin aktive Splices erzeugen. Diese Fehlerbehebung steht im Zusammenhang mit Issue #4902.

Was LDK-Nutzer überprüfen sollten

Die meisten Lightning-Nutzer interagieren nicht direkt mit LDK, da es in das von ihnen verwendete Wallet oder die verwendete Anwendung integriert ist. Entwicklungsteams müssen LDK v0.2.6 in ihre Software integrieren, bevor die Fehlerbehebungen die Endnutzer erreichen, wie CryptoSlate berichtete.

Node-Betreiber und Anwendungsentwickler sollten zunächst die offiziellen Release Notes oder Sicherheitshinweise prüfen, bestätigen, ob ihre eingesetzte Software LDK verwendet, und feststellen, welche Version darin enthalten ist. Vor Änderungen sollten sie außerdem die Kompatibilität ihrer Anwendung sowie die Anweisungen für Upgrades prüfen. Dies sind redaktionelle Hinweise und keine von den LDK-Maintainern herausgegebenen Upgrade-Anweisungen.

Wenn ein Wallet oder eine Anwendung auf LDK basiert, sollten Nutzer ihren Anbieter auf ein Update beobachten und es installieren, sobald eines verfügbar ist.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungen und digitale Vermögenswerte sind mit erheblichen Risiken verbunden. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.

Quelle: CoinLineup