Een patch die op 25 oktober is samengevoegd in de Lightning Dev Kit (LDK) dicht een kwetsbaarheid waarmee een buitenstaander privé Bitcoin (BTC)-betalingskanalen kon koppelen aan de on-chain transacties die hen financierden.

Volgens COINOTAG ging de fout om betalingsprivacy en niet om het beheer van munten, en was de koers van Bitcoin er niet bij betrokken. De blootstelling was een correlatierisico: kanalen die deelnemers privé wilden houden, konden worden gekoppeld aan de specifieke on-chain transacties waarmee ze waren geopend.

Hoe de privacy van betalingskanalen wordt ondermijnd

Het Lightning Network is een tweede-laag betalingssysteem bovenop Bitcoin waarin gebruikers transacties uitvoeren via betalingskanalen. Elk kanaal wordt geopend met een on-chain fundingtransactie, doorgaans een 2-van-2 multisignature-output die gezamenlijk wordt beheerd door de twee kanaalpartners, en omdat de blockchain van Bitcoin publiek is, zijn die fundingtransacties voor iedereen zichtbaar.

Tegelijkertijd adverteert het Lightning-netwerk kanalen openbaar via zijn gossip-protocol, inclusief de outpoint (de combinatie van transactie-ID en output-index) die naar de fundingtransactie verwijst. Wanneer de outpoint van een kanaal kan worden gekoppeld aan zijn fundingtransactie, kan een waarnemer mogelijk anders privé kanaalactiviteit verbinden met identificeerbare on-chain munten. De kwetsbaarheid die met de LDK-merge van 25 oktober werd verholpen, behoorde tot deze klasse van kanaalvolg-blootstelling.

Omdat beide vlakken — de publieke blockchain en het gossip-protocol — open zijn door ontwerp, is het ongekopeld houden van on-chain en off-chain activiteit een blijvende technische zorg voor tweede-laag betalingen, en dichten patches zoals deze afzonderlijke gaten in die scheiding.

Wat LDK is

Lightning Dev Kit is een Rust-implementatie van het Lightning Network-protocol, onderhouden door het Lightning Dev Kit-project dat wordt gefinancierd door Spiral, een Bitcoin-ontwikkelinitiatief gesteund door Jack Dorsey. Ontworpen voor inbedding in plaats van zelfstandige werking, biedt het bindings en tooling waarmee walletontwikkelaars Lightning-functionaliteit in hun applicaties kunnen integreren, en het wordt gebruikt in consumentenwallets zoals BlueWallet.

Dat inbeddingsmodel bepaalt ook hoe de fix reist: de patch is na de merge van 25 oktober onderdeel van de LDK-codebase, en walletteams die op LDK bouwen verwerken deze via hun eigen opvolgende builds en releases, waarbij elk project zijn eigen updatesnelheid hanteert. Lezers die de praktische uitrol van de fix willen volgen, kunnen daarom de releasekanalen van de wallets die LDK meebrengen in de gaten houden.

Deze content is voor het eerst gepubliceerd op COINOTAG: https://en.coinotag.com/bitcoin-lightning-dev-kit-patches-channel-tracking-flaw