De Lightning Development Kit (LDK), een softwaretoolkit voor het bouwen van wallets en applicaties voor het Bitcoin Lightning Network, heeft versie 0.2.6 uitgebracht. De update verhelpt bugs waardoor een aanvaller een klein bedrag uit de middelen van een node kon besteden of kon voorkomen dat een node opnieuw opstartte.

Wat LDK v0.2.6 verhelpt

LDK wordt door ontwikkelaars gebruikt om wallets en applicaties voor het Lightning Network te bouwen, een snellere en goedkopere betaalinfrastructuur boven op Bitcoin. Versie 0.2.6 werd uitgebracht op 9 september 2026, onder de titel “The More You Dig.” Volgens de officiële release notes bevat de update oplossingen voor een fout in de fee-inflatie bij een splice, een kwetsbaarheid waarbij een kwaadwillige betaling een herstart kon verhinderen, een afzonderlijke crashgerelateerde herstartfout en onjuiste gebeurtenissen die tijdens de verwerking van splices werden gegenereerd.

De release beschrijft potentiële risico’s. Er worden geen waargenomen verliezen gemeld en er wordt geen applicatie genoemd die is uitgebuit. Het ontbreken van een dergelijk bericht bewijst echter niet dat er nooit misbruik heeft plaatsgevonden. De verstrekte informatie maakt ook niet duidelijk welke eerdere versies zijn getroffen, wat het volledige getroffen versiebereik is en of backports beschikbaar zijn. Er wordt geen schatting gegeven van de risico’s voor fondsen, het aantal getroffen nodes of specifiek genoemde uitgebuite applicaties.

Risico’s op fondsdiefstal en problemen met node-herstarts

Het eerste probleem is een kwetsbaarheid door fee-inflatie rond een “splice”. Daarmee kunnen fondsen aan een geopend Lightning-kanaal worden toegevoegd of eraan worden onttrokken zonder het kanaal te sluiten. Een kwaadwillende tegenpartij kon mogelijk een klein bedrag uit de middelen van een node besteden wanneer die node een splice startte.

De oplossing voorkomt dat een kwaadwillende peer een buitensporige fee-toewijzing afdwingt wanneer de node bijdraagt aan een splice. Zonder de oplossing kon de extra toewijzing naar de output van de peer gaan, volgens de release notes, waarin naar issue #4905 wordt verwezen.

Het tweede probleem is eerder een operationeel risico dan een kwetsbaarheid voor fondsdiefstal. Een bug voor payment denial-of-service, gevolgd onder issue #4982, kon voorkomen dat een node opnieuw opstartte. Dit kon gebeuren wanneer een node een vals betalingsverzoek ontving, bekend als een HTLC, direct nadat een andere geldige betaling met dezelfde payment_hash was doorgestuurd. Door die volgorde kon de ChannelManager van de node, de centrale tracker van de status, tijdens een herstart niet meer worden geladen. Voor beheerders is dit een beschikbaarheidsprobleem: een node die zijn ChannelManager niet opnieuw kan laden, kan na een herstart de normale werking niet hervatten.

De release vermeldt Erick Cestari als melder van het herstartprobleem.

LDK v0.2.6 pakt ook een afzonderlijke herstartfout aan. Een crash direct nadat de ChainMonitor een kanaal had gesloten dat nooit was bevestigd en nooit fondsen had bevat, kon verhinderen dat de ChannelManager werd geladen. De release notes verwijzen naar issue #4983 en maken onderscheid tussen deze crashgerelateerde bug en de aanval met de kwaadwillige betaling.

Daarnaast voorkomt de update dat fouten bij het schrijven naar een stream tijdens de serialisatie van de ChannelManager onjuiste SpliceNegotiationFailed- en DiscardFunding-gebeurtenissen genereren voor splices die nog actief waren. Deze oplossing houdt verband met issue #4902.

Wat LDK-gebruikers moeten controleren

De meeste Lightning-gebruikers hebben niet rechtstreeks met LDK te maken, omdat het in de wallet of applicatie die zij gebruiken is geïntegreerd. Ontwikkelteams moeten LDK v0.2.6 in hun software opnemen voordat de oplossingen eindgebruikers bereiken, zoals CryptoSlate meldde.

Nodebeheerders en applicatieontwikkelaars moeten eerst de officiële release notes of beveiligingsrichtlijnen doornemen, controleren of hun geïmplementeerde software LDK gebruikt en vaststellen welke versie erin is opgenomen. Ook moeten zij de compatibiliteit en upgrade-instructies van hun applicatie controleren voordat zij wijzigingen aanbrengen. Dit zijn redactionele suggesties en geen upgrade-instructies van de LDK-onderhouders.

Als een wallet of applicatie afhankelijk is van LDK, moeten gebruikers hun provider in de gaten houden voor een update en die toepassen zodra deze beschikbaar is.

Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Cryptocurrency- en digitale-activamarkten brengen aanzienlijke risico’s met zich mee. Doe altijd zelf onderzoek voordat u beslissingen neemt.

Bron: CoinLineup