Le Lightning Development Kit (LDK), une boîte à outils logicielle utilisée pour créer des portefeuilles et des applications Bitcoin Lightning Network, a publié la version 0.2.6. Cette mise à jour corrige des bugs qui pouvaient permettre à un attaquant de dépenser une petite quantité des fonds d’un nœud ou empêcher un nœud de redémarrer.

Ce que corrige LDK v0.2.6

LDK est utilisé par les développeurs pour créer des portefeuilles et des applications pour le Lightning Network, une couche de paiement plus rapide et moins coûteuse construite sur Bitcoin. La version 0.2.6 a été publiée le 9 septembre 2026 sous le titre « The More You Dig ». Selon les notes de version officielles, la mise à jour corrige une faille d’inflation des frais lors d’un splice, une vulnérabilité de redémarrage liée à un paiement malveillant, une défaillance distincte du redémarrage causée par un crash, ainsi que des événements incorrects générés pendant le traitement des splices.

La version décrit des risques potentiels. Elle ne fait état d’aucune perte constatée et n’identifie aucune application ayant été exploitée. Toutefois, l’absence d’un tel signalement ne permet pas d’établir qu’aucune exploitation n’a eu lieu. Les informations fournies ne permettent pas non plus d’établir quelles versions antérieures sont concernées, l’ensemble de la plage de versions affectées, ni si des rétroportages sont disponibles. Elles ne fournissent aucune estimation des fonds exposés, du nombre de nœuds concernés ou des applications exploitées nommément identifiées.

Risques de vol de fonds et de redémarrage des nœuds

Le premier problème est une vulnérabilité d’inflation des frais liée à un « splice », qui permet d’ajouter ou de retirer des fonds d’un canal Lightning ouvert sans le fermer. Une contrepartie malveillante pouvait potentiellement dépenser une petite quantité des fonds d’un nœud lorsque celui-ci initiait un splice.

Le correctif empêche un pair malveillant de forcer une allocation excessive des frais lorsque le nœud contribue à un splice. Sans ce correctif, cette allocation excédentaire pouvait être dirigée vers la sortie du pair, selon les notes de version, qui font référence au problème #4905.

Le deuxième problème constitue un risque opérationnel plutôt qu’une vulnérabilité de vol de fonds. Un bug de déni de service lié aux paiements, suivi sous le problème #4982, pouvait empêcher un nœud de redémarrer. Le problème pouvait survenir lorsqu’un nœud recevait une fausse demande de paiement, appelée HTLC, immédiatement après avoir transféré un autre paiement valide présentant le même payment_hash. Cette séquence pouvait empêcher le ChannelManager du nœud, son gestionnaire central de l’état, de se charger lors d’un redémarrage. Pour les opérateurs, il s’agit d’un problème de disponibilité : un nœud qui ne peut pas recharger son ChannelManager ne peut pas reprendre son fonctionnement normal après un redémarrage.

La version attribue à Erick Cestari le signalement du problème de redémarrage.

LDK v0.2.6 corrige également une défaillance distincte du redémarrage. Un crash survenant immédiatement après que le ChainMonitor avait fermé un canal qui n’avait jamais été confirmé et n’avait jamais détenu de fonds pouvait empêcher le chargement du ChannelManager. Les notes de version font référence au problème #4983 et distinguent ce bug lié à un crash de l’attaque par paiement malveillant.

En outre, la mise à jour empêche les échecs d’écriture dans un flux pendant la sérialisation du ChannelManager de générer de faux événements SpliceNegotiationFailed et DiscardFunding pour des splices encore actifs. Ce correctif est associé au problème #4902.

Ce que les utilisateurs de LDK doivent vérifier

La plupart des utilisateurs du Lightning Network n’interagissent pas directement avec LDK, car celui-ci est intégré au portefeuille ou à l’application qu’ils utilisent. Les équipes de développement doivent intégrer LDK v0.2.6 à leurs logiciels avant que les correctifs ne parviennent aux utilisateurs finaux, comme l’a rapporté CryptoSlate.

Les opérateurs de nœuds et les développeurs d’applications doivent d’abord consulter les notes de version officielles ou les consignes de sécurité, vérifier si leurs logiciels déployés utilisent LDK et déterminer quelle version ils intègrent. Ils doivent également vérifier la compatibilité de leur application ainsi que ses instructions de mise à niveau avant toute modification. Il s’agit de suggestions éditoriales et non d’instructions de mise à niveau émises par les mainteneurs de LDK.

Si un portefeuille ou une application repose sur LDK, les utilisateurs doivent surveiller les mises à jour proposées par leur fournisseur et les appliquer lorsqu’elles sont disponibles.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d’investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre une décision.

Source : CoinLineup