Una patch integrata nel Lightning Dev Kit (LDK) il 25 ottobre chiude una vulnerabilità che consentiva a un osservatore esterno di collegare canali di pagamento privati di Bitcoin (BTC) alle transazioni on-chain che li avevano finanziati.

Secondo COINOTAG, la falla riguardava la privacy dei pagamenti anziché la custodia delle monete, e non coinvolgeva il prezzo di Bitcoin. L'esposizione era invece un rischio di correlazione: i canali che i partecipanti intendevano mantenere privati potevano essere abbinati alle specifiche transazioni on-chain che li avevano aperti.

Come si compromette la privacy dei canali di pagamento

La Lightning Network è un sistema di pagamento di secondo livello costruito sopra Bitcoin, in cui gli utenti transazionano tramite canali di pagamento. Ogni canale viene aperto da una transazione di finanziamento on-chain, tipicamente un output multisignature 2-su-2 controllato congiuntamente dai due partner del canale e, poiché la blockchain di Bitcoin è pubblica, tali transazioni di finanziamento sono visibili a chiunque.

Al tempo stesso, la rete Lightning pubblicizza pubblicamente i canali tramite il suo protocollo gossip, includendo l'outpoint (la combinazione di ID della transazione e indice dell'output) che fa riferimento alla transazione di finanziamento. Quando l'outpoint di un canale può essere abbinato alla sua transazione di finanziamento, un osservatore può riuscire a collegare attività dei canali altrimenti private a monete on-chain identificabili. La vulnerabilità affrontata dalla merge LDK del 25 ottobre apparteneva a questa classe di esposizione al tracciamento dei canali.

Poiché entrambe queste superfici — la blockchain pubblica e il protocollo gossip — sono aperte per design, mantenere scollegate le attività on-chain e off-chain è una problematica ingegneristica costante per i pagamenti di secondo livello, e patch come questa chiudono singole lacune in quella separazione.

Che cos'è LDK

Lightning Dev Kit è un'implementazione in Rust del protocollo della Lightning Network mantenuta dal progetto Lightning Dev Kit, finanziato da Spiral, un'iniziativa di sviluppo Bitcoin sostenuta da Jack Dorsey. Progettato per l'incorporamento anziché per l'uso autonomo, fornisce binding e strumenti che consentono agli sviluppatori di wallet di integrare le funzionalità Lightning nelle loro applicazioni, ed è utilizzato in wallet per consumatori come BlueWallet.

Questo modello di incorporamento determina anche il modo in cui la correzione si diffonde: la patch fa ora parte della codebase LDK in seguito alla merge del 25 ottobre, e i team dei wallet basati su LDK la incorporano attraverso le proprie versioni e release successive, con ciascun progetto che definisce il proprio ritmo di aggiornamento. I lettori che desiderano seguire l'implementazione pratica della correzione possono quindi monitorare i canali di rilascio dei wallet che distribuiscono LDK.

Questo contenuto è stato pubblicato per la prima volta su COINOTAG: https://en.coinotag.com/bitcoin-lightning-dev-kit-patches-channel-tracking-flaw