Los desarrolladores de Core Lightning han advertido a quienes ejecuten funciones experimentales en el software que las desactiven o arriesguen la pérdida de sus fondos mientras el equipo trabaja para comprender un problema recién descubierto.

El aviso de mediados de septiembre es la segunda advertencia en cuestión de semanas, tras un parche de finales de agosto que abordó una ola separada de errores que podrían haber afectado a empresas, proveedores de pagos y operadores individuales que utilizan los paquetes de software de Core Lightning (CLN) para operar nodos en la Lightning Network de Bitcoin. El aviso actual no aplica a la red principal de Bitcoin.

Nueva advertencia de riesgo para los operadores de nodos de Core Lightning

Core Lightning emitió la nueva alerta de riesgo el 15 de septiembre vía X, exhortando a los operadores a desactivar de inmediato cualquier función experimental que hubieran activado. La alerta también fue señalada por la firma de seguridad blockchain SlowMist en una publicación en X.

El equipo no explicó qué hace la función experimental ni cómo podría ser explotada. Sin embargo, el riesgo de pérdida de fondos es concreto: estos nodos mantienen BTC dentro de canales de pago enrutan fondos entre usuarios. Mientras el equipo continúa su investigación, desactivar las funciones sigue siendo el único paso que ha pedido públicamente a los operadores.

Un agitado agosto impulsado por reportes de CVE generados por IA

Antes de la advertencia de septiembre, CLN trabajaba para superar un agitado agosto causado por un alto volumen de reportes de CVE generados por IA —divulgaciones catalogadas públicamente de fallas de seguridad de software. La instrucción en ese momento fue reiniciar los nodos con el flag --offline, lo que corta las conexiones entre pares para que ningún pago se enrute mientras el software sigue monitoreando la cadena.

Para el 28 de agosto, el equipo de CLN informó a los operadores de nodos que actualizar a la versión 26.06.7 era la solución a los problemas surgidos durante el mes. Los detalles técnicos de esa corrección fueron publicados en GitHub el 11 de septiembre, tras el vencimiento del embargo de dos semanas, un retraso que dio a los operadores tiempo para actualizar antes de que los atacantes pudieran realizar ingeniería inversa de los parches.

Las herramientas de IA se vuelven un problema para el Bitcoin open-source

Lightning Development Kit (LDK), una implementación separada de Lightning Network, enfrentó su propia emergencia de seguridad en agosto, lo que refuerza una tendencia creciente en la que las herramientas de IA se utilizan para escanear el código open-source de Bitcoin en busca de fallas de seguridad. Los mantenedores de LDK reportaron ninguna pérdida observada ni aplicaciones explotadas. Core Lightning y LDK son mantenidos por equipos distintos como bases de código independientes, por lo que cada proyecto rastrea y divulga sus propios problemas de seguridad.