Un correctif fusionné le 25 octobre dans le Lightning Dev Kit (LDK) comble une vulnérabilité qui permettait à un observateur extérieur de relier des canaux de paiement Bitcoin (BTC) privés aux transactions on-chain qui les ont financés.

Selon COINOTAG, la faille concernait la confidentialité des paiements plutôt que la garde des fonds, et elle n'impliquait pas le prix du Bitcoin. L'exposition était en réalité un risque de corrélation : les canaux que les participants souhaitaient garder privés pouvaient être associés aux transactions on-chain spécifiques qui les avaient ouverts.

Comment la confidentialité des canaux de paiement est compromise

Le Lightning Network est un système de paiement de seconde couche construit au-dessus de Bitcoin, dans lequel les utilisateurs effectuent des transactions via des canaux de paiement. Chaque canal est ouvert par une transaction de financement on-chain, généralement une sortie multisignature 2-sur-2 contrôlée conjointement par les deux partenaires du canal, et comme la blockchain de Bitcoin est publique, ces transactions de financement sont visibles par tous.

Parallèlement, le réseau Lightning annonce publiquement les canaux via son protocole gossip, y compris l'outpoint (la combinaison de l'identifiant de transaction et de l'index de sortie) qui référence la transaction de financement. Lorsque l'outpoint d'un canal peut être associé à sa transaction de financement, un observateur peut être en mesure de connecter une activité de canal autrement privée à des fonds on-chain identifiables. La vulnérabilité corrigée par la fusion du 25 octobre dans LDK appartenait à cette classe d'exposition au traçage des canaux.

Comme ces deux surfaces — la blockchain publique et le protocole gossip — sont ouvertes par conception, maintenir l'activité on-chain et off-chain sans lien entre elles constitue une préoccupation d'ingénierie permanente pour les paiements de seconde couche, et des correctifs comme celui-ci comblent des failles individuelles dans cette séparation.

Ce qu'est LDK

Lightning Dev Kit est une implémentation en Rust du protocole du Lightning Network maintenue par le projet Lightning Dev Kit, qui est financé par Spiral, une initiative de développement Bitcoin soutenue par Jack Dorsey. Conçu pour être intégré plutôt que pour fonctionner de manière autonome, il fournit des bindings et des outils permettant aux développeurs de portefeuilles d'intégrer des fonctionnalités Lightning dans leurs applications, et il est utilisé dans des portefeuilles grand public tels que BlueWallet.

Ce modèle d'intégration détermine également la manière dont le correctif se propage : le correctif fait désormais partie de la base de code de LDK à la suite de la fusion du 25 octobre, et les équipes des portefeuilles construits sur LDK l'incorporent via leurs propres versions et builds ultérieurs, chaque projet définissant son propre rythme de mise à jour. Les lecteurs qui souhaitent suivre le déploiement pratique du correctif peuvent donc surveiller les canaux de publication des portefeuilles intégrant LDK.

Ce contenu a été publié pour la première fois sur COINOTAG : https://en.coinotag.com/bitcoin-lightning-dev-kit-patches-channel-tracking-flaw