Una vulnerabilità di sicurezza nelle applicazioni Bitcoin Lightning Network non aggiornate potrebbe consentire a un peer del canale malevolo di rubare fondi semplicemente riconnettendosi e inviando false informazioni sullo stato del canale. Gli utenti che utilizzano software Lightning non aggiornati basati su Lightning Dev Kit (LDK) sono esposti, e il difetto riguarda un toolkit open-source ampiamente utilizzato da cui dipendono molti sviluppatori di wallet. Poiché LDK è alla base di numerosi wallet consumer, un singolo bug di implementazione può raggiungere molte app contemporaneamente, e molti utenti finali hanno scarsa visibilità su quale toolkit sia alla base della loro app wallet.

Perché le app Lightning non aggiornate affrontano un rischio di perdita di Bitcoin

La Bitcoin Lightning Network è un sistema di pagamenti costruito sopra Bitcoin. Consente a due parti di aprire un canale di pagamento condiviso e inviare Bitcoin avanti e indietro in modo rapido ed economico, senza registrare ogni transazione sulla blockchain principale di Bitcoin.

Ogni canale detiene un saldo, e entrambe le parti conservano un registro locale di quanto Bitcoin controlla ciascuna. Questi registri locali sono ciò su cui ciascuna parte si basa quando i pagamenti riprendono dopo una disconnessione. La vulnerabilità riguarda le applicazioni che utilizzano LDK, un toolkit software open-source ampiamente adottato per la creazione di wallet e servizi basati su Lightning.

In un'app LDK non aggiornata, un peer malevolo può mentire sulla cronologia dei saldi del canale dopo la riconnessione. L'app vulnerabile potrebbe accettare l'affermazione falsa e aggiornare in modo errato i propri registri, consentendo potenzialmente all'attaccante di rivendicare più Bitcoin di quanti ne detenga effettivamente nel canale.

Il difetto non è una debolezza di Bitcoin stesso o del design centrale del protocollo Lightning. È un bug in una specifica implementazione software, paragonabile a una piattaforma online di una banca con un difetto software separato dalle regole finanziarie effettive della banca. Le applicazioni basate su LDK che non sono state aggiornate restano esposte.

Non è la prima volta che un'implementazione Lightning ha bisogno di una patch di sicurezza urgente. All'inizio di quest'anno, Eclair, un'altra implementazione Lightning, ha corretto un difetto separato che avrebbe potuto dirottare i saldi dei canali ai miner anziché al destinatario previsto. Il software Lightning è mantenuto come diverse implementazioni indipendenti, ciascuna con il proprio codebase e la propria tempistica di patch, quindi un bug in un progetto non indica un difetto nel protocollo stesso; l'onere ricade invece sui manutentori e sugli sviluppatori di wallet che distribuiscono il loro codice, per portare le correzioni agli utenti.

Come un peer del canale malevolo si riconnette

Nella Lightning Network, due parti devono essere online e connesse per inviare pagamenti attraverso il loro canale condiviso. Quando una parte va offline e torna, le due parti si scambiano messaggi per confermare lo stato attuale del canale, inclusa la cronologia dei saldi, prima di riprendere l'attività. Tali riconnessioni sono una parte routinaria del funzionamento di Lightning, poiché i nodi vanno offline regolarmente e devono risincronizzarsi con i loro peer.

È in questo handshake di riconnessione che risiede la vulnerabilità. Un peer disonesto può inviare un messaggio manipolato durante la riconnessione, rivendicando uno stato del canale che lo avvantaggia Un'app non aggiornata potrebbe elaborare il messaggio falso senza individuare l'incongruenza, come riportato da CryptoSlate.

La distinzione è importante: questo difetto descrive un rischio segnalato, non una serie confermata di furti. Non esistono ancora prove pubblicamente documentate che la vulnerabilità sia stata attivamente sfruttata. Tuttavia, un difetto noto e non corretto significa che la finestra per un potenziale sfruttamento rimane aperta per qualsiasi utente che non sia passato a una versione corretta. Riflette anche una realtà strutturale dei sistemi di pagamento peer-to-peer: i partner del canale sono spesso sconosciuti con fondi a rischio, e il software di ciascuna parte deve vigilare su ciò che l'altro riporta. In questo caso, il rischio derivò da una lacuna in tale verifica piuttosto che dal design della rete.

Gli incidenti di sicurezza dei wallet crittografici non sono teorici. Un singolo compromissione del wallet può portare alla perdita totale dei fondi, e le vulnerabilità nei software di pagamento sono tra le superfici di attacco più bersagliate del settore.

Cosa dovrebbero fare ora gli utenti Lightning

Chiunque utilizzi un wallet o un'app Bitcoin Lightning dovrebbe prima verificare se l'applicazione è stata aggiornata di recente, prima di aprire o utilizzare i canali di pagamento. Gli sviluppatori che creano su LDK sono tenuti a rilasciare versioni corrette; gli utenti finali dovrebbero installare l'aggiornamento tramite lo stesso canale utilizzato per qualsiasi altro aggiornamento software, che sia un app store o un download diretto.

Gli utenti dovrebbero evitare di aprire nuovi canali Lightning o instradare pagamenti attraverso canali esistenti su un'app non aggiornata. Chi non è sicuro che la propria app sia interessata dovrebbe consultare direttamente le note di rilascio ufficiali o gli annunci di sicurezza dello sviluppatore e confermare la versione corretta prima di riprendere la normale attività sui canali.

Per chi gestisce il proprio nodo Lightning, i rust-lightning security advisories confermano quali versioni sono corrette; gli utenti dovrebbero seguire il percorso di aggiornamento raccomandato dai manutentori. Il prossimo segnale da monitorare è il ritmo dei rilasci corretti e degli annunci di aggiornamento dei fornitori di wallet basati su LDK, che determinerà quando gli utenti ordinari potranno riprendere in sicurezza l'attività sui canali. La stessa attenzione agli aggiornamenti vale per qualsiasi applicazione che gestisce chiavi private o fondi del canale, poiché persino le catene di vulnerabilità nelle app mobili possono esporre dati crittografati e informazioni private su dispositivi che gli utenti considerano sicuri.

Disclaimer: Questo articolo ha scopo puramente informativo e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Consultare sempre fonti ufficiali e consulenti qualificati prima di prendere decisioni.