Core Lightning ha invitato gli operatori di nodi Bitcoin Lightning ad aggiornare alla versione 26.06.7 dopo che gli sviluppatori hanno confermato molteplici vulnerabilità di sicurezza nelle versioni precedenti del software di pagamento open source. L'avviso è seguito a un'impennata di segnalazioni di sicurezza generate dall'IA che hanno contribuito a far emergere le debolezze.

La versione 26.06.7 è stata rilasciata il 28 agosto, con i dettagli sulle vulnerabilità inizialmente trattenuti sotto un embargo di due settimane. Il ritardo ha dato agli operatori una finestra per installare le correzioni prima che gli attaccanti potessero studiare le modifiche — uno schema di divulgazione coordinata comune nel lavoro di sicurezza open source, in cui le patch vengono distribuite per prime e i dettagli tecnici diventano pubblici una volta scaduta la finestra. Secondo CoinDesk, gli sviluppatori non avevano trovato prove che le falle fossero state sfruttate attivamente al momento dell'avviso.

Perché l'aggiornamento è importante

Core Lightning, noto comunemente come CLN, consente agli operatori di inviare, ricevere e instradare pagamenti in Bitcoin attraverso la Lightning Network, un secondo livello in cui il software del nodo gestisce i canali di pagamento e tiene traccia del saldo corrente di ciascuno. Un nodo compromesso può mettere a rischio i fondi detenuti nei canali di pagamento Lightning.

Per gli operatori che non possono aggiornare immediatamente, gli sviluppatori hanno raccomandato di riavviare CLN con l'opzione –offline invece di spegnere la macchina. La modalità offline blocca la comunicazione con gli altri nodi Lightning, consentendo al software di continuare a monitorare la blockchain di Bitcoin.

La distinzione è significativa: un nodo in funzione può rilevare determinati tentativi di chiusura dei canali basati su saloti non aggiornati, mentre una macchina completamente spenta non offre tale protezione. Il progetto ha inoltre terminato il supporto per tutte le versioni precedenti alla 26.06.7, rendendo l'aggiornamento il passaggio centrale di rimediazione per gli operatori interessati.

Gli utenti Docker affrontano un controllo aggiuntivo

Un problema separato è emerso durante il rilascio iniziale per gli operatori che utilizzano Docker. Alcune immagini Docker pubblicate tra il 28 agosto e il 1 settembre mostravano la versione 26.06.7 ma non includevano le correzioni di sicurezza complete. Core Lightning ha successivamente aggiornato le immagini interessate, e gli operatori che le hanno scaricate durante la finestra interessata dovrebbero verificare il digest della propria immagine e ottenere la versione corretta. Poiché un digest è un identificatore bas sul contenuto legato ai contenuti esatti di un'immagine, la verifica può distinguere la ricompilazione corretta da quelle incomplete anche quando entrambe mostrano lo stesso numero di versione.

L'episodio sottolinea una sfida di sicurezza più ampia per l'infrastruttura Bitcoin: gli strumenti di IA stanno sempre più spesso individuando vulnerabilità nei progetti open source, accelerando la ricerca sulla sicurezza e aumentando al contempo la pressione sui manutentori a rispondere rapidamente. Per gli operatori Lightning, la priorità immediata rimane l'esecuzione di una versione verificata e completamente corretta, anziché fidarsi del numero di versione mostrato dal software.

Fonte: CryptoMeter io