Il team dietro Core Lightning (CLN), l'implementazione open source del nodo per la Bitcoin Lightning Network sviluppata da Blockstream, ha esortato gli operatori che utilizzano versioni precedenti ad aggiornare immediatamente dopo aver ricevuto segnalazioni di attaccanti che prendono di mira nodi non patchati.

"Aggiornamento di sicurezza urgente: se stai utilizzando la versione 26.06.7 o precedenti, ti preghiamo di aggiornare all'ultima release il prima possibile", ha dichiarato il team venerdì.

Core Lightning non ha specificato quali vulnerabilità gli attaccanti stessero prendendo di mira né quale impatto l'attività potrebbe avere. Cointelegraph ha contattato Core Lightning per un commento.

Il 16 settembre, Core Lightning ha dichiarato di stare indagando su segnalazioni di un potenziale problema che riguardava funzionalità sperimentali dell'implementazione e che poteva impattare i fondi degli utenti. Circa sei giorni dopo, il 22 settembre, ha rilasciato la versione 26.06.8, che ha fornito correzioni di bug insieme a patch per "vulnerabilità segnalate in modo responsabile da diverse fonti". Le note di release accreditano la Bitcoin Red Team e altre 12 persone e gruppi nominati, oltre a segnalatori anonimi.

Secondo il changelog, le correzioni hanno affrontato difetti che potevano bloccare i nodi dei mittenti, richieste che potevano esaurire la memoria dell'interfaccia REST e un bug di chiusura dei canali che poteva causare la perdita di fondi degli utenti tramite una penale. Nella Lightning Network, le penali sono il meccanismo del protocollo per punire un nodo che tenta di chiudere un canale con saldi non aggiornati — ed è proprio questo che rende quel bug una via diretta verso la perdita dei fondi dei canali. La release ha anche deliberatamente omesso alcuni test per rendere più difficile per gli attaccanti decodificare tramite reverse engineering e sfruttare le vulnerabilità mentre gli operatori eseguivano l'aggiornamento.

Le divulgazioni sottolineano cosa è in gioco per gli operatori di nodi: i nodi Lightning custodiscono i fondi bloccati nei canali di pagamento e instradano i pagamenti attraverso la rete, quindi un difetto in un'implementazione ampiamente utilizzata come Core Lightning può tradursi in un'esposizione finanziaria diretta anziché in un semplice bug software.

L'avvertimento fa seguito a un episodio precedente ad agosto, quando Core Lightning ha dichiarato di stare lavorando a una correzione coordin dopo aver valutato un elevato volume di segnalazioni di Common Vulnerabilities and Exposures (CVE) generate dall'AI nelle settimane recenti. Due giorni dopo, ha rilasciato la versione 26.06.7 per affrontare le vulnerabilità confermate.

Cosa accadrà dipende dai dettagli che Core Lightning deve ancora fornire: le vulnerabilità prese di mira restano non specificate, e un eventuale advisory successivo o una risposta alla richiesta di commento chiarirebbe la portata dell'attività contro i nodi che utilizzano ancora versioni non patchate.