L'équipe derrière Core Lightning (CLN), l'implémentation open source de nœud pour le Lightning Network de Bitcoin développée par Blockstream, a exhorté les opérateurs exécutant des versions plus anciennes à effectuer une mise à jour immédiate après avoir reçu des signalements d'attaquants ciblant des nœuds non corrigés.

« Mise à jour de sécurité urgente : si vous exécutez la version 26.06.7 ou antérieure, veuillez passer à la dernière version dès que possible », a déclaré l'équipe vendredi.

Core Lightning n'a pas précisé quelles vulnérabilités les attaquants ciblaient ni quel impact cette activité pourrait avoir. Cointelegraph a contacté Core Lightning pour obtenir un commentaire.

Le 16 septembre, Core Lightning a indiqué enquêter sur des signalements d'un problème potentiel affectant des fonctionnalités expérimentales de l'implémentation pouvant impacter les fonds des utilisateurs. Environ six jours plus tard, le 22 septembre, elle a publié la version 26.06.8, qui apportait des corrections de bugs ainsi que des correctifs pour des « vulnérabilités signalées de manière responsable par plusieurs sources ». Les notes de version créditent la Bitcoin Red Team et 12 autres personnes et groupes nommés, ainsi que des signaleurs anonymes.

Selon le journal des modifications, les correctifs ont traité des failles pouvant faire planter les nœuds des expéditeurs, des requêtes pouvant épuiser la mémoire de son interface REST, et un bug de fermeture de canal pouvant amener les utilisateurs à perdre des fonds au titre d'une pénalité. Dans le Lightning Network, les pénalités sont le mécanisme du protocole pour punir un nœud qui tente de fermer un canal avec des soldes obsolètes — c'est ce qui fait de ce bug une voie directe vers la perte de fonds de canal. La version a également volontairement omis certains tests afin de compliquer l'ingénierie inverse et l'exploitation des vulnérabilités par des attaquants pendant que les opérateurs effectuaient leurs mises à jour.

Ces divulgations soulignent ce qui est en jeu pour les opérateurs de nœuds : les nœuds Lightning détiennent les fonds verrouillés dans les canaux de paiement et acheminent les paiements à travers le réseau, de sorte qu'une faille dans une implémentation largement utilisée comme Core Lightning peut se traduire par une exposition financière directe plutôt que par un simple bug logiciel.

L'avertissement fait suite à un précédent épisode en août, lorsque Core Lightning a déclaré travailler sur un correctif coordonné après avoir évalué un volume élevé de rapports de vulnérabilités et expositions communes (CVE) générés par IA au cours des semaines précédentes. Deux jours plus tard, elle a publié la version 26.06.7 pour traiter les vulnérabilités confirmées.

La suite dépend de détails que Core n'a pas encore fournis : les vulnérabilités ciblées restent non précisées, et tout avis complémentaire ou réponse à la demande de commentaire clarifierait la portée de l'activité visant les nœuds exécutant encore des versions non corrigées.