Operators van Core Lightning (CLN)-nodes worden opgeroepen de verbinding met hun peers te verbreken terwijl ontwikkelaars ondertekende binaries voorbereiden met fixes voor een reeks niet-openbaar gemaakte beveiligingskwetsbaarheden.

Bitcoin-ontwikkelaar Calle vergrootte op 26 augustus de aandacht voor de waarschuwing in een bericht op X, met de oproep aan CLN-operators om getroffen nodes offline te halen tot er gepatchte software beschikbaar is. De instelling --offline van Core Lightning voorkomt dat lightningd bindt aan netwerkpoorten of opnieuw verbinding maakt met peers, terwijl operators nog steeds lokaal onderhoud en monitoring kunnen uitvoeren.

De kwetsbaarheden zijn niet in verband gebracht met bevestigde diefstallen of met enige exploitatie in het wild. Technische details blijven twee weken onder embargo terwijl de gepatchte binaries worden gedistribueerd.

Ondertekende binaries in voorbereiding

Core Lightning is van plan reproduceerbare ondertekende binaries te distribueren met fixes voor de kwetsbaarheden die zijn vastgesteld tijdens een recente golf van beveiligingsrapporten. Operators die niet upgraden, wordt geadviseerd hun nodes te herstarten met de vlag --offline, waardoor de verbinding met peers wordt verbroken terwijl de toegang tot de node zelf behouden blijft. Reproduceerbare builds stellen derden in staat om dezelfde broncode onafhankelijk te compileren en te bevestigen dat hun uitvoer overeenkomt met de gepubliceerde binaries, wat operators een manier geeft om te verifiëren dat de noodsoftware overeenkomt met de gepatchte code in plaats van uitsluitend op het distributiekanaal te vertrouwen.

Het project heeft ook de ondersteuning voor oudere releases ingetrokken, expliciet inclusief versie 26.04. De laatste publiek getagde build bleef Core Lightning v26.06.6 voordat de noodbinaries werden uitgebracht.

Offline draaien betekent niet simpelweg dat lightningd wordt afgesloten. De node kan Bitcoin blijven volgen en de kanaalstatus lokaal verwerken, inclusief de afhandeling van force-closes, terwijl externe Lightning-peerverbindingen uitgeschakeld blijven.

Core Lightning 26.09 blijft gepland als de volgende grote release nadat het noodwerk aan de beveiliging is afgerond.

AI-rapporten leiden tot intensieve beveiligingscontrole

De beveiligingsinspanning begon nadat Core Lightning in augustus een groot aantal door AI gegenereerde kwetsbaarheidsrapporten ontving, wat maintainers en externe bijdragers dwong de bevindingen te valideren en patches te ontwikkelen over de hele codebasis.

Die controle vindt plaats naast de veel grotere Bitcoin Red Team-audit, die 7.958 bevindingen opleverde in 501 open-source Bitcoin-projecten. Daarvan werden er 1.280 aanvankelijk geclassificeerd als hoog of kritiek, hoewel elke bevinding nog steeds menselijke validatie vereist voordat deze als een bevestigde kwetsbaarheid kan worden behandeld.

Bitcoin-beveiligingsteams combineren sinds de mislukking van de seedgeneratie bij Coldcard steeds vaker geautomatiseerde modellen met handmatige controle. Coinkite bracht onlangs noodfirmware voor Coldcard uit nadat zwakke willekeurigheid duizenden Bitcoin-adressen blootstelde, met verliezen die ruim boven de 1.700 BTC uitkwamen.

BitBox patchte deze maand afzonderlijk twee ernstige kwetsbaarheden, waaronder een geheugencorruptiepad dat onder specifieke omstandigheden willekeurige code-uitvoering mogelijk maakt, terwijl Ledger onlangs een kwetsbaarheid patchte in zijn Ethereum-hardwarewallet-app die een kwaadaardige dApp in staat zou kunnen stellen een transactie te vervangen tijdens het goedkeuringsproces.

Lightning-infrastructuur neemt voorzorgsmaatregelen

De waarschuwing betreft Core Lightning en niet de Bitcoin-consensus of het Lightning-protocol als geheel. CLN is een van de grote Lightning-implementaties, naast LND van Lightning Labs en Eclair van ACINQ, die allemaal interoperabel zijn via de BOLT-specificatiesuite (Basis of Lightning Technology). Oorspronkelijk uitgebracht onder de naam c-lightning en voor het eerst ontwikkeld door ingenieurs van Blockstream, is de implementatie geschreven in C en wordt deze onderhouden onder de paraplu van het Elements Project; de software draait sinds 2018 op het Bitcoin-mainnet.

Omdat Lightning-nodes Bitcoin vasthouden in open betaalkanalen en betalingen voor andere gebruikers via het netwerk routeren, wordt een kwetsbaarheidswaarschuwing op implementatieniveau behandeld als een operationele gebeurtenis voor de volledige operatorbasis van die software, en niet slechts voor één gebruiker.

Downstream-infrastructuur is al begonnen de blootstelling te verminderen terwijl de gepatchte binaries worden voorbereid. BTCPay Server heeft als voorzorgsmaatregel Core Lightning- en Eclair-routes uitgeschakeld in zijn standaardimplementatie, waarmee een verdere operationele reactie wordt toegevoegd aan een maand beveiligingswerk in de Bitcoin-betaalinfrastructuur.

Toen de waarschuwing werd uitgegeven, was er nog geen bevestigd verlies van gelden in verband met CLN gemeld. Operators blijven gewezen op de ondertekende Core Lightning-binaries zodra deze zijn gepubliceerd, terwijl de details van de kwetsbaarheden gedurende het openbaaringsvenster van twee weken onder embargo blijven.