Core Lightning (CLN), un'implementazione open source della Lightning Network di Bitcoin, ha confermato molteplici vulnerabilità e ha invitato gli operatori di nodi a installare un prossimo aggiornamento di sicurezza.

In un annuncio pubblicato giovedì su X, Core Lightning ha dichiarato di aver esaminato un elevato volume di rapporti Common Vulnerabilities and Exposures (CVE) generati dall'IA, riscontrando che diversi di essi sono reali. Il progetto ha consigliato agli operatori di non arrestare completamente i propri nodi, ma di riavviarli con «--offline», un'impostazione che impedisce ai pagamenti di entrare, uscire o transitare attraverso il nodo.

Il volume stesso delle segnalazioni riflette una tendenza più ampia nella sicurezza open source: i maintainer di vari progetti hanno segnalato un'impennata di rapporti sulle vulnerabilità generati dall'IA, per lo più non validi. Daniel Stenberg, maintainer di curl, in un intervento all'inizio del 2025 ha descritto un'ondata di segnalazioni presentate automaticamente al suo progetto, risultate quasi interamente false. La revisione di Core Lightning, al contrario, ha concluso che diversi dei rapporti ricevuti erano autentici.

In un post successivo, Core Lightning ha chiarito che l'aggiornamento è la raccomandazione principale e che il riavvio con --offline è un'alternativa per gli operatori che non hanno ancora aggiornato. L'indicazione offre agli operatori un modo per proteggere i propri nodi in attesa dell'aggiornamento, senza arrestare completamente il software sottostante.

Core Lightning ha spiegato la logica alla base del consiglio: mantenere attivo il daemon consente di continuare a seguire la blockchain di Bitcoin e di intervenire se una controparte forza la chiusura di un canale, cosa che un nodo completamente arrestato non può fare. La preoccupazione è strutturale in Lightning: ciascuna delle parti del canale può trasmettere unilateralmente on-chain lo stato di un canale, con regolamento dei fondi tramite commissioni di transazione e tempi di attesa integrati, e un nodo che non sta monitorando la catena non può contestare una trasmissione obsoleta entro quella finestra temporale. Molti operatori aggiungono le watchtower — servizi che monitorano la catena per conto di un nodo — come ulteriore salvaguardia, sebbene le indicazioni di Core Lightning in questo caso fossero di mantenere in esecuzione il daemon stesso. Agli operatori che avviano il nodo con --offline è stato consigliato di rimuovere il flag dopo l'aggiornamento; in caso contrario, i loro nodi resteranno disconnessi.

Core Lightning non ha rivelato la natura o la gravità delle vulnerabilità appena confermate, non ha pubblicato gli identificatori CVE e non ha segnalato alcuno sfruttamento o perdita correlata. Non ha inoltre comunicato una data di rilascio per il prossimo aggiornamento.

Core Lightning, in passato noto come c-lightning e sviluppato originariamente da Blockstream, è una delle principali implementazioni open source della Lightning Network, insieme a LND, mantenuto da Lightning Labs, ed Eclair, mantenuto dalla società parigina ACINQ, sul quale è basato il wallet mobile Phoenix. La Lightning Network è un protocollo layer-2 costruito sopra Bitcoin che instrada i pagamenti attraverso canali off-chain, consentendo transazioni più rapide ed economiche rispetto ai pagamenti on-chain in Bitcoin, e costituisce la base di una gamma di wallet per consumatori e servizi di pagamento. I CVE sono identificatori pubblici standardizzati utilizzati per tracciare le vulnerabilità di sicurezza note nel software.

Le falle appena confermate sono distinte dalle vulnerabilità remote di tipo denial-of-service rivelate a maggio e a luglio, già corrette in versioni precedenti. Entrambi gli approfondimenti sono stati pubblicati sul forum Delving Bitcoin solo dopo il rilascio delle correzioni, in linea con la pratica della divulgazione coordinata, comune nella sicurezza open source, che prevede di trattenere i dettagli tecnici fino alla disponibilità di una patch.