Het team achter Core Lightning (CLN), de open-source node-implementatie voor het Bitcoin Lightning Network ontwikkeld door Blockstream, heeft beheerders die oudere versies draaien dringend geadviseerd te upgraden nadat er meldingen waren binnengekomen van aanvallers die ongepatchte nodes aanvallen.

“Urgente beveiligingsupdate: als u versie 26.06.7 of ouder draait, upgrade dan zo snel mogelijk naar de nieuwste release,” aldus het team vrijdag.

Core Lightning heeft niet gespecificeerd welke kwetsbaarheden de aanvallers targeting of welke impact de activiteit kan hebben. Cointelegraph heeft om een reactie bij Core Lightning gevraagd.

Op 16 september meldde Core Lightning meldingen te onderzoeken van een mogelijk probleem dat experimentele functies in de implementatie beïnvloedt en gevolgen kan hebben voor gebruikersfondsen. Ongeveer zes dagen later, op 22 september, werd versie 26.06.8 uitgebracht, met bugfixes en patches voor “kwetsbaarheden die door verschillende bronnen verantwoord zijn gemeld.” De releaseopmerkingen noemen het Bitcoin Red Team en twaalf andere bij naam genoemde personen en groepen, evenals anonieme melders.

Volgens het changelog werden met de fixes fouten verholpen die de nodes van verzenders konden laten crashen, verzoeken die het geheugen van de REST-interface konden uitputten, en een bug bij het sluiten van kanalen die gebruikers via een penalty fondsen kon kosten. In het Lightning Network zijn penalties het mechanisme van het protocol om een node te straffen die probeert een kanaal te sluiten met verouderde saldi — wat die bug tot een directe route naar verlies van kanaalfondsen maakt. De release hield bovendien opzettelijk enkele tests achter om het aanvallers moeilijker te maken de kwetsbaarheden te reverse-engineeren en te misbruiken terwijl beheerders upgradeerden.

De openbaarmaking onderstrepen wat er op het spel staat voor nodebeheerders: Lightning-nodes bewaren de fondsen die in betaalkanalen zijn vergrendeld en routeren betalingen door het netwerk, dus een fout in een veelgebruikte implementatie zoals Core Lightning kan leiden tot directe financiële blootstelling in plaats van een gewone softwarefout.

De waarschuwing volgt op een eerdere episode in augustus, toen Core Lightning meldde te werken aan een gecoördineerde fix na het beoordelen van een groot aantal door AI gegenereerde Common Vulnerabilities and Exposures (CVE)-rapporten in de voorafgaande weken. Twee dagen later werd versie 26.06.7 uitgebracht om de bevestigde kwetsbaarheden te verhelpen.

Wat er vervolgens gebeurt, hangt af van details die Core Lightning nog moet verstrekken: de aangevallen kwetsbaarheden zijn niet gespecificeerd, en een eventueel vervolgend advies of reactie op het verzoek om commentaar zou de omvang van de activiteit tegen nodes die nog ongepatchte versies draaien verduidelijken.