Core Lightning ha instado a los operadores de nodos de Bitcoin Lightning a actualizar a la versión 26.06.7 después de que los desarrolladores confirmaran múltiples vulnerabilidades de seguridad en versiones anteriores del software de pagos de código abierto. El aviso se produjo tras un aumento de reportes de seguridad generados por IA que ayudaron a detectar las debilidades.

La versión 26.06.7 se publicó el 28 de agosto, y los detalles de las vulnerabilidades se mantuvieron inicialmente bajo un embargo de dos semanas. Esa demora dio a los operadores una ventana para instalar las correcciones antes de que los atacantes pudieran estudiar los cambios, un patrón de divulgación coordinada común en el trabajo de seguridad de código abierto, en el que los parches se lanzan primero y los detalles técnicos se hacen públicos una vez que la ventana se cierra. Según CoinDesk, los desarrolladores no habían encontrado evidencia de que las fallas estuvieran siendo explotadas activamente al momento del aviso.

Por qué importa la actualización

Core Lightning, conocido comúnmente como CLN, permite a los operadores enviar, recibir y enrutar pagos de Bitcoin a través de Lightning Network, una segunda capa donde el software del nodo mantiene los canales de pago y registra el saldo actual de cada uno. Un nodo comprometido puede poner en riesgo los fondos retenidos en los canales de pago de Lightning.

Para los operadores que no puedan actualizar de inmediato, los desarrolladores recomendaron reiniciar CLN con la opción –offline en lugar de apagar la máquina. El modo offline bloquea la comunicación con otros nodos de Lightning mientras permite que el software continúe monitoreando la blockchain de Bitcoin.

La distinción es significativa: un nodo en funcionamiento puede detectar ciertos intentos de cierre de canales con saldos desactualizados, mientras que una máquina completamente apagada no ofrece esa protección. El proyecto también ha finalizado el soporte para todas las versiones anteriores a la 26.06.7, lo que convierte la actualización en el paso central de remediación para los operadores afectados.

Los usuarios de Docker enfrentan una verificación adicional

Un problema aparte surgió durante el despliegue inicial para los operadores que usan Docker. Algunas imágenes de Docker publicadas entre el 28 de agosto y el 1 de septiembre mostraban la versión 26.06.7 pero no incluían las correcciones de seguridad completas. Core Lightning actualizó posteriormente las imágenes afectadas, y los operadores que las descargaron durante la ventana afectada deben verificar el digest de su imagen y obtener la versión corregida. Dado que un digest es un identificador basado en el contenido vinculado al contenido exacto de una imagen, verificarlo permite distinguir la reconstrucción corregida de las incompletas, incluso cuando ambas muestran el mismo número de versión.

El episodio subraya un desafío de seguridad más amplio para la infraestructura de Bitcoin: las herramientas de IA están detectando cada vez más vulnerabilidades en proyectos de código abierto, acelerando la investigación de seguridad y aumentando la presión sobre los mantenedores para responder con rapidez. Para los operadores de Lightning, la prioridad inmediata sigue siendo ejecutar una versión verificada y completamente parcheada, en lugar de confiar en el número de versión que muestra el software.

Fuente: CryptoMeter io