Gli operatori dei nodi Core Lightning (CLN) sono invitati a disconnettersi dai propri peer mentre gli sviluppatori preparano binari firmati contenenti correzioni per un gruppo di vulnerabilità di sicurezza non divulgate.

Lo sviluppatore Bitcoin Calle ha rilanciato l’avviso il 26 agosto in un post su X, esortando gli operatori CLN a mettere offline i nodi interessati finché non sarà disponibile il software corretto. L’impostazione --offline di Core Lightning impedisce a lightningd di associarsi alle porte di rete o di riconnettersi ai peer, consentendo però agli operatori di continuare con la manutenzione e il monitoraggio locali.

Le vulnerabilità non sono state collegate ad attacchi confermati né a sfruttamenti osservati sul campo. I dettagli tecnici resteranno sotto embargo per due settimane mentre i binari corretti vengono distribuiti.

Sono in arrivo binari Core Lightning firmati

Core Lightning intende distribuire binari firmati riproducibili che includono le correzioni per le vulnerabilità identificate durante una recente ondata di segnalazioni di sicurezza. Agli operatori che non effettuano l’aggiornamento viene chiesto di riavviare i propri nodi con il flag --offline, interrompendo la connettività ai peer ma mantenendo l’accesso al nodo. Le build riproducibili consentono a terze parti di compilare in modo indipendente lo stesso codice sorgente e verificare che l’output corrisponda ai binari pubblicati, offrendo agli operatori un modo per accertare che il software d’emergenza corrisponda al codice corretto anziché affidarsi soltanto al canale di distribuzione.

Il progetto ha inoltre ritirato il supporto per versioni più vecchie, includendo esplicitamente la versione 26.04. L’ultima build con tag pubblico rimaneva Core Lightning v26.06.6 prima del rilascio dei binari d’emergenza.

Eseguire il software in modalità offline non significa semplicemente arrestare lightningd. Il nodo può continuare a seguire Bitcoin e a gestire localmente lo stato dei canali, compresa la gestione delle chiusure forzate, mentre le connessioni esterne ai peer Lightning restano disabilitate.

Core Lightning 26.09 resta programmato come prossima major release dopo il completamento dei lavori di sicurezza d’emergenza.

I report dell’IA attivano un’intensa revisione della sicurezza

L’attività di sicurezza è iniziata dopo che Core Lightning ha ricevuto, durante agosto, un gran numero di segnalazioni di vulnerabilità generate dall’IA, costringendo i manutentori e contributori esterni a verificare i risultati e sviluppare patch in tutto il codebase.

Questa revisione si sta svolgendo parallelamente al più ampio Bitcoin Red Team audit, che ha prodotto 7,958 risultati su 501 progetti Bitcoin open source. Di questi, 1,280 sono stati inizialmente classificati come di gravità alta o critica, anche se ogni segnalazione richiede ancora una validazione umana prima di poter essere trattata come una vulnerabilità confermata.

I team di sicurezza di Bitcoin hanno sempre più spesso combinato modelli automatizzati e revisione manuale dopo il guasto nella generazione dei seed di Coldcard. Coinkite ha recentemente distribuito firmware d’emergenza per Coldcard dopo che una casualità debole ha esposto migliaia di indirizzi Bitcoin, con perdite ben superiori a 1,700 BTC.

BitBox ha inoltre corretto separatamente due vulnerabilità gravi questo mese, tra cui un percorso di corruzione della memoria in grado di consentire l’esecuzione di codice arbitrario in determinate condizioni, mentre Ledger ha recentemente corretto una vulnerabilità nella sua app per wallet hardware Ethereum che avrebbe potuto consentire a una dApp malevola di sostituire una transazione durante il processo di approvazione.

L’infrastruttura Lightning adotta misure precauzionali

L’avviso riguarda Core Lightning e non il consenso di Bitcoin né il protocollo Lightning nel suo complesso. CLN è una delle principali implementazioni Lightning, insieme a LND di Lightning Labs ed Eclair di ACINQ, tutte interoperabili attraverso la suite di specifiche BOLT (Basis of Lightning Technology). Rilasciata originariamente con il nome c-lightning e sviluppata inizialmente dagli ingegneri di Blockstream, l’implementazione è scritta in C e mantenuta sotto l’ombrello di Elements Project; è operativa sulla mainnet di Bitcoin dal 2018.

Poiché i nodi Lightning detengono Bitcoin in canali di pagamento aperti e instradano pagamenti per altri utenti sulla rete, un avviso di vulnerabilità a livello di implementazione viene trattato come un evento operativo per l’intera base di operatori di quel software, non solo per un singolo utente.

L’infrastruttura a valle ha già iniziato a ridurre l’esposizione mentre vengono preparati i binari corretti. BTCPay Server ha disabilitato i percorsi Core Lightning ed Eclair nella propria distribuzione predefinita come misura precauzionale, aggiungendo un’ulteriore risposta operativa a un mese di attività di sicurezza nell’infrastruttura dei pagamenti Bitcoin.

Al momento dell’avviso non era emersa alcuna perdita di fondi confermata collegata a CLN. Gli operatori restano indirizzati verso i binari firmati di Core Lightning una volta pubblicati, mentre i dettagli sulle vulnerabilità rimangono sotto embargo per la finestra di divulgazione di due settimane.