Ein am 25. Oktober in das Lightning Dev Kit (LDK) gemergter Patch schließt eine Schwachstelle, die einem externen Beobachter ermöglichte, private Bitcoin (BTC)-Payment-Kanäle mit den sie finanzierenden On-Chain-Transaktionen zu verknüpfen.

Laut COINOTAG betraf die Schwachstelle die Zahlungsprivatsphäre und nicht die Verwahrung der Coins, und sie stand in keinem Zusammenhang mit dem Bitcoin-Kurs. Es handelte sich vielmehr um ein Korrelationsrisiko: Kanäle, die die Teilnehmer privat halten wollten, konnten den konkreten On-Chain-Transaktionen zugeordnet werden, mit denen sie geöffnet wurden.

Wie die Privatsphäre von Payment-Kanälen untergraben wird

Das Lightning Network ist ein zweites Zahlungsnetzwerk (Layer 2), das auf Bitcoin aufbaut und in dem Nutzer über Payment-Kanäle transagieren. Jeder Kanal wird durch eine On-Chain-Funding-Transaktion eröffnet, in der Regel einen 2-von-2-Multisignatur-Output, der gemeinsam von den beiden Kanalpartnern kontrolliert wird. Da die Bitcoin-Blockchain öffentlich ist, sind diese Funding-Transaktionen für jedermann sichtbar.

Gleichzeitig kündigt das Lightning-Netzwerk Kanäle öffentlich über sein Gossip-Protokoll an, einschließlich des Outpoints (der Kombination aus Transaktions-ID und Output-Index), der auf die Funding-Transaktion verweist. Wenn der Outpoint eines Kanals seiner Funding-Transaktion zugeordnet werden kann, kann ein Beobachter möglicherweise ansonsten private Kanalaktivitäten mit identifizierbaren On-Chain-Coins verbinden. Die durch den LDK-Merge am 25. Oktober behobene Schwachstelle gehörte zu dieser Klasse von Kanal-Tracking-Expositionen.

Da beide dieser Oberflächen – die öffentliche Blockchain und das Gossip-Protokoll – von Design offengelegt sind, bleibt die Entkopplung von On-Chain- und Off-Chain-Aktivität eine beständige technische Herausforderung für Layer-2-Zahlungen, und Patches wie dieser schließen einzelne Lücken in dieser Trennung.

Was LDK ist

Das Lightning Dev Kit ist eine Rust-Implementierung des Lightning-Netzwerkprotokolls, gepflegt vom Lightning Dev Kit-Projekt, das von Spiral finanziert wird – einer Bitcoin-Entwicklungsinitiative mit Unterstützung von Jack Dorsey. Es ist auf Einbettung statt auf eigenständigen Betrieb ausgelegt und bietet Bindings und Werkzeuge, mit denen Wallet-Entwickler Lightning-Funktionen in ihre Anwendungen integrieren können; es wird in Consumer-Wallets wie BlueWallet eingesetzt.

Dieses Einbettungsmodell bestimmt auch, wie der Fix verbreitet wird: Der Patch ist nach dem Merge am 25. Oktober Teil des LDK-Codebases, und Wallet-Teams, die auf LDK aufbauen, übernehmen ihn durch ihre eigenen nachfolgenden Builds und Releases, wobei jedes Projekt seinen eigenen Update-Rhythmus festlegt. Leser, die der praktischen Ausrolung des Fixes folgen möchten, können daher die Release-Kanäle der Wallets verfolgen, die LDK ausliefern.

Dieser Inhalt wurde zuerst auf COINOTAG veröffentlicht: https://en.coinotag.com/bitcoin-lightning-dev-kit-patches-channel-tracking-flaw