El equipo detrás de Core Lightning (CLN), la implementación de nodo de código abierto para la Lightning Network de Bitcoin desarrollada por Blockstream, instó a los operadores que ejecutan versiones anteriores a actualizar de inmediato tras recibir reportes de atacantes que apuntan a nodos sin parches.

“Actualización de seguridad urgente: si estás ejecutando la versión 26.06.7 o anterior, actualiza a la versión más reciente lo antes posible”, señaló el equipo el viernes.

Core Lightning no especificó qué vulnerabilidades eran objeto de los ataques ni qué impacto podría tener la actividad. Cointelegraph se puso en contacto con Core Lightning para obtener comentarios.

El 16 de septiembre, Core Lightning informó que investigaba reportes de un posible problema que afectaba funciones experimentales de la implementación y que podría impactar los fondos de los usuarios. Unos seis días después, el 22 de septiembre, lanzó la versión 26.06.8, que incluía correcciones de errores junto con parches para “vulnerabilidades reportadas de manera responsable por varias fuentes”. Las notas de la versión acreditan al Bitcoin Red Team y a otras 12 personas y grupos identificados, además de reportantes anónimos.

Según el registro de cambios, las correcciones atendieron fallos que podían bloquear los nodos de los remitentes, solicitudes que podían agotar la memoria de su interfaz REST y un error al cerrar canales que podía provocar que los usuarios perdieran fondos por una penalización. En la Lightning Network, las penalizaciones son el mecanismo del protocolo para castigar a un nodo que intenta cerrar un canal con saldos desactualizados, lo que convierte ese error en una vía directa para perder fondos del canal. La versión también retuvo deliberadamente algunas pruebas para dificultar que los atacantes hicieran ingeniería inversa y explotaran las vulnerabilidades mientras los operadores actualizaban.

Las divulgaciones subrayan lo que está en juego para los operadores de nodos: los nodos Lightning custodian los fondos bloqueados en los canales de pago y enrutan pagos a través de la red, por lo que un fallo en una implementación de uso generalizado como Core Lightning puede traducirse en una exposición financiera directa en lugar de un simple error de software.

La advertencia sigue a un episodio previo en agosto, cuando Core Lightning informó que trabajaba en una corrección coordinada tras evaluar un alto volumen de reportes de vulnerabilidades y exposiciones comunes (CVE) generados por IA en las semanas recientes. Dos días después, lanzó la versión 26.06.7 para atender las vulnerabilidades confirmadas.

Lo que suceda después depende de detalles que Core Lightning aún no ha proporcionado: las vulnerabilidades atacadas siguen sin especificarse, y cualquier aviso posterior o respuesta a la solicitud de comentarios aclararía el alcance de la actividad contra nodos que aún ejecutan versiones sines.