ACINQ, firma stojąca za implementacją Eclair Lightning Network, wezwała operatorów węzłów do aktualizacji oprogramowania po serii poprawek bezpieczeństwa. Według doniesień CryptoSlate deweloperzy Bitcoin Lightning podnieśli alarm w sprawie podatności, wydając drugą poprawkę w ciągu pięciu dni w ramach aktywnej pracy nad usunięciem luk w protokole.

Lightning Network to warstwa płatności zbudowana na Bitcoinie. Umożliwia użytkownikom natychmiastowe i tanie przesyłanie bitcoinów poprzez routing płatności przez sieć połączonych kanałów płatniczych, zamiast zapisywania każdej transakcji bezpośrednio w blockchainie Bitcoina. Tylko otwarcie i zamknięcie kanału zapisuje się w blockchainie bazowym, co umożliwia płatności o dużej objętości i niskich opłatach.

Eclair jest jedną z najczęściej używanych implementacji Lightning Network, obok innych niezależnych implementacji, takich jak LND od Lightning Labs i Core Lightning od Blockstream, z którymi współdziała w tej samej sieci peer-to-peer. ACINQ utrzymuje oprogramowanie, a także prowadzi Phoenix Wallet, jeden z bardziej popularnych portfeli Lightning z samodzielnością środków (self-custody). Operatorzy węzłówclair stanowią część kręgosłupa sieci płatniczej Lightning.

Dwie poprawki w ciągu pięciu dni: co oznaczają te aktualizacje

Tempo wyróżnia się na tle innych. Opublikowanie dwóch poprawek bezpieczeństwa w krótkim odstępie czasu jest nietypowe i zazwyczaj oznacza, że deweloperzy wykryli podatność, wydali wstępną poprawkę, a następnie zidentyfikowali pokrewny problem lub niekompletne rozwiązanie wymagające kolejnego kroku.

Szczegółowe informacje techniczne dotyczące podatności nie zostały jeszcze w pełni ujawnione, co jest standardową praktyką. Badacze bezpieczeństwa i deweloperzy często odsuwają publikację pełnych szczegółów do czasu zaktualizowania przez większość operatorów, aby nie dawać atakującym gotowej instrukcji, dopóki węzły pozostają niezałatane. Dla obserwatorów praktycznymi punktami do śledzenia są oficjalne notki wydania i biuletyny ACINQ, które wskazują wersje zawierające poprawki i mogą zawierać pełniejsze szczegóły techniczne po powszechnym przyjęciu aktualizacji.

Dlaczego to ważne dla operatorów węzłów Lightning

Prowadzenie niezałatanego węzła Lightning wiąże się z realnym ryzykiem finansowym. Kanały Lightning przechowują prawdziwe bitcoiny zablokowane w kontraktach on-chain, a luka bezpieczeństwa mogłaby potencjalnie pozwolić atakującemu na wykorzystanie węzła i opróżnienie środków z otwartych kanałów.

To różni się od błędu oprogramowania, który mógłby jedynie powodować awarię lub utratę połączenia. Podatności w oprogramowaniu kanałów płatniczych mogą mieć bezpośrednie konsekwencje finansowe dla operatorów, którzy nie zastosowali dostępnych poprawek.

Szerszy obraz tego, jak incydenty bezpieczeństwa mogą wpływać na infrastrukturę kryptowalut, zilustrowała sprawa portfeli powiązanych z eksploatatorem Drift, które przesłały 109 milionów dolarów do Tornado Cash — pokazuje ona, jak szybko skradzione środki mogą się przemieszczać, gdy podatność zostanie wykorzystana w praktyce.

Co operatorzy Eclair powinni zrobić przed aktualizacją

Wezwanie ACINQ kierowane jest do operatorów uruchamiających Eclair w środowiskach produkcyjnych. Przed zastosowaniem jakiejkolwiekizacji działającego węzła Lightning warto rozważyć kilka rozsądnych kroków.

Po pierwsze, zapoznać się z oficjalnymi notkami wydania opublikowanymi przez ACINQ. Wskażą one, która wersja zawiera poprawki bezpieczeństwa, i wymienią wymagania dotyczące zgodności. Nie należy polegać na podsumowaniach zewnętrznych przy wskazówkach dotyczących konkretnych wersji; repozytorium GitHub ACINQ i oficjalne kanały są źródłami wiarygodnymi.

Po drugie, zaplanować okno serwisowe. Aktualizacja węzła Lightning wymaga krótkiego wyłączenia go z pracy. Otwarte kanały płatnicze nie zostaną utracone podczas zaplanowanego restartu, ale przeprowadzenie aktualizacji w okresie niskiej aktywności ogranicza zakłócenia routingu i płatności w toku.

Po trzecie, wykonać kopię zapasową danych stanu kanałów przed zastosowaniem aktualizacji. Choć nowoczesne implementacje Lightning automatycznie zarządzają stanem, dodatkowa kopia zapasowa przed zmianą oprogramowania jest rozsądną ostrożnością.

Po aktualizacji operatorzy powinni monitorować węzeł, aby upewnić się, że ponownie łączy się z peermi, kanały wracają do stanu aktywnego, a routing przebiega normalnie. Jeśli coś wygląda podejrzanie po aktualizacji, odpowiednim miejscem zgłoszenia problemu są kanały wsparcia ACINQ i fora społecznościowe.

Aktualne przypomnienie o utrzymaniu oprogramowania w infrastrukturze kryptowalut

Prowadzenie węzła Lightning nie jest działaniem typu „ustaw i zapomnij”. Poprawki bezpieczeństwa, aktualizacje protokołu i zmiany dotyczące zgodności wymagają stałej uwagi od każdego, kto prowadzi infrastrukturę przechowującą lub routującą realne środki. Ponieważ węzły nieprzerwanie komunikują się z peermi i egzekwują reguły kontraktów wrażliwe na czas, utrzymywanie aktualnego oprogramowania to podstawowy obowiązek operacyjny, a nie opcjonalny dodatek.

Tempo dwóch poprawek w ciągu pięciu dni przypomina, że nawet dojrzałe, dobrze utrzymywane projekty open source stają w obliczu aktywnych zagrożeń bezpieczeństwa. Operatorzy, którzy niezwłocznie stosują aktualizacje, znacząco skracają okno swojej ekspozycji. A ponieważ Lightning Network składa się z wielu niezależnie prowadzonych węzłów, szybkie łatanie przez poszczególnych operatorów jest częścią zbiorowej odporności sieci.

Dla osób korzystających z portfeli Lightning Network jako użytkownicy końcowi, a nie operatorzy, ta aktualizacja nie wymaga żadnych bezpośrednich działań. Dostawcy portfeli i operatorzy węzłów zarządzają stosunkiem oprogramowania. Mimo to warto wiedzieć, że zespoły utrzymujące oprogramowanie Lightning traktują kwestie bezpieczeństwa poważnie i szybko reagują, gdy wykryte zostaną problemy.

astrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj własne badania przed podjęciem decyzji.