Se está instando a los operadores de nodos de Core Lightning (CLN) a desconectarse de sus pares mientras los desarrolladores preparan binarios firmados con correcciones para un grupo de vulnerabilidades de seguridad no reveladas.

El desarrollador de Bitcoin Calle amplificó la advertencia el 26 de agosto en una publicación en X, instando a los operadores de CLN a sacar del aire los nodos afectados hasta que el software corregido esté disponible. La opción --offline de Core Lightning impide que lightningd se vincule a puertos de red o vuelva a conectarse a pares, al tiempo que permite a los operadores continuar con el mantenimiento y la supervisión locales.

Las vulnerabilidades no han sido vinculadas a robos confirmados ni a ninguna explotación en el mundo real. Los detalles técnicos permanecerán bajo embargo durante dos semanas mientras se distribuyen los binarios corregidos.

Se preparan binarios firmados de Core Lightning

Core Lightning planea distribuir binarios firmados reproducibles con correcciones para las vulnerabilidades identificadas durante una reciente oleada de reportes de seguridad. A los operadores que no actualicen se les pide reiniciar sus nodos con la bandera --offline, lo que corta la conectividad con pares mientras se mantiene el acceso al nodo. Las compilaciones reproducibles permiten que terceros compilen de forma independiente la misma fuente y verifiquen que el resultado coincide con los binarios publicados, ofreciendo a los operadores una forma de confirmar que el software de emergencia corresponde al código corregido y no de confiar únicamente en el canal de distribución.

El proyecto también ha retirado el soporte para versiones anteriores, incluyendo explícitamente la versión 26.04. La última compilación etiquetada públicamente seguía siendo Core Lightning v26.06.6 antes de que se publicaran los binarios de emergencia.

Ejecutar el nodo en modo offline no significa simplemente detener lightningd. El nodo puede seguir siguiendo Bitcoin y gestionando el estado de los canales localmente, incluido el manejo de cierres forzados, mientras las conexiones externas con pares de Lightning permanecen deshabilitadas.

Core Lightning 26.09 sigue programado como la próxima gran versión después de completar el trabajo de seguridad de emergencia.

Los reportes de IA desencadenan una revisión intensiva de seguridad

El trabajo de seguridad comenzó después de que Core Lightning recibiera en agosto un gran volumen de reportes de vulnerabilidades generados por IA, lo que obligó a los mantenedores y a colaboradores externos a validar los hallazgos y desarrollar parches en toda la base de código.

Esa revisión se desarrolla junto con la mucho mayor auditoría Bitcoin Red Team, que produjo 7,958 hallazgos en 501 proyectos de Bitcoin de código abierto. De ellos, 1,280 fueron clasificados inicialmente como de severidad alta o crítica, aunque cada hallazgo aún requiere validación humana antes de poder tratarse como una vulnerabilidad confirmada.

Los equipos de seguridad de Bitcoin han combinado cada vez más modelos automatizados con revisión manual tras el fallo en la generación de semillas de Coldcard. Coinkite lanzó recientemente firmware de emergencia para Coldcard después de que una aleatoriedad débil expusiera miles de direcciones de Bitcoin, con pérdidas que superaron ampliamente 1,700 BTC.

BitBox también corrigió por separado dos vulnerabilidades graves este mes, incluida una vía de corrupción de memoria capaz de ejecución de código arbitrario bajo condiciones específicas, mientras que Ledger corrigió recientemente una vulnerabilidad en su aplicación de monedero de hardware de Ethereum que podría permitir que una dApp maliciosa sustituyera una transacción durante el proceso de aprobación.

La infraestructura de Lightning adopta medidas preventivas

La advertencia afecta a Core Lightning y no al consenso de Bitcoin ni al protocolo Lightning en su conjunto. CLN es una de las principales implementaciones de Lightning, junto con LND de Lightning Labs y Eclair de ACINQ, todas interoperables a través del conjunto de especificaciones BOLT (Basis of Lightning Technology). Lanzada originalmente con el nombre c-lightning y desarrollada por primera vez por ingenieros de Blockstream, la implementación está escrita en C y se mantiene bajo el paraguas de Elements Project; opera en la red principal de Bitcoin desde 2018.

Debido a que los nodos de Lightning mantienen Bitcoin en canales de pago abiertos y enrutan pagos de otros usuarios a través de la red, una advertencia de vulnerabilidad a nivel de implementación se trata como un evento operativo para toda la base de operadores de ese software, no solo para un usuario individual.

La infraestructura posterior ya ha comenzado a reducir la exposición mientras se preparan los binarios corregidos. BTCPay Server deshabilitó por precaución las rutas de Core Lightning y Eclair en su implementación predeterminada, añadiendo otra respuesta operativa a un mes de trabajo de seguridad en la infraestructura de pagos de Bitcoin.

Cuando se emitió la advertencia, no había surgido ninguna pérdida confirmada de fondos relacionada con CLN. A los operadores se les sigue dirigiendo a los binarios firmados de Core Lightning una vez que se publiquen, mientras los detalles de las vulnerabilidades permanecen bajo embargo durante la ventana de divulgación de dos semanas.

La publicación Core Lightning Urges Node Operators Offline as Security Fixes Near Release apareció primero en Crypto Adventure.