Core Lightning wezwał operatorów węzłów Bitcoin Lightning do aktualizacji do wersji 26.06.7 po tym, jak deweloperzy potwierdzili liczne luki bezpieczeństwa we wcześniejszych wydaniach open-source'owego oprogramowania płatniczego. Ostrzeżenie nastąpiło po fali raportów o bezpieczeństwie generowanych przez AI, które pomogły ujawnić słabości.

Wersja 26.06.7 została wydana 28 sierpnia, a szczegóły luk początkowo objęto dwutygodniowym embargiem. To opóźnienie dało operatorom czas na instalację poprawek, zanim atakujący zdążyliby przeanalizować zmiany — to typowy dla open-source'owej pracy nad bezpieczeństwem wzór skoordynowanego ujawniania, w którym najpierw publikowane są poprawki, a szczegóły techniczne stają się jawne po upływie okresu embarga. Według CoinDesk deweloperzy nie znaleźli dowodów na to, że luki były aktywnie wykorzystywane w momencie wydania ostrzeżenia.

Dlaczego ta aktualizacja ma znaczenie

Core Lightning, znany również jako CLN, umożliwia operatorom wysyłanie, odbieranie i routing płatności Bitcoin w sieci Lightning — drugiej warstwie, w której oprogramowanie węzła utrzymuje kanały płatności i śledzi bieżące saldo każdego z nich. Skompromitowany węzeł może narazić na ryzyko środki przechowywane w kanałach płatności Lightning.

Operatorom, którzy nie mogą natychmiast przeprowadzić aktualizacji, deweloperzy zalecili ponowne uruchomienie CLN z opcją –offline zamiast wyłączania maszyny. Tryb offline blokuje komunikację z innymi węzłami Lightning, pozwalając jednocześnie oprogramowaniu dalej monitorować blockchain Bitcoina.

To rozróżnienie ma istotne znaczenie: działający węzeł może wykryć pewne próby zamknięcia kanałów na podstawie nieaktualnych sald, podczas gdy całkowicie wyłączona maszyna nie zapewnia takiej ochrony. Projekt zakończył również wsparcie dla wszystkich wydań wcześniejszych niż 26.06.7, co czyni aktualizację kluczowym krokiem naprawczym dla dotkniętych operatorów.

Użytkownicy Docker mus wykonać dodatkową weryfikację

Podczas początkowego wdrożenia pojawił się osobny problem dla operatorów korzystających z Docker. Niektóre obrazy Docker opublikowane między 28 sierpnia a 1 września wyświetlały wersję 26.06.7, ale nie zawierały pełnych poprawek bezpieczeństwa. Core Lightning później odświeżył dotknięte obrazy, a operatorzy, którzy pobrali je w tym okresie, powinni zweryfikować digesć obrazu i pobrać poprawioną wersję. Ponieważ digesć jest identyfikatorem opartym na zawartości, powiązanym z dokładną zawartością obrazu, jego sprawdzenie pozwala odróżnić poprawiony rebuild od niekompletnych, nawet gdy oba wyświetlają ten sam numer wersji.

To wydarzenie podkreśla szersze wyzwanie bezpieczeństwa dla infrastruktury Bitcoin: narzędzia AI coraz częściej wykrywają luki w projektach open-source, przyspieszając badania nad bezpieczeństwem, a jednocześnie zwiększając presję na maintainerów, by szybko reagowali. Dla operatorów Lightning bezpośrednim priorytetem pozostaje uruchamianie zweryfikowanego, w pełni załatanego wydania, a nie poleganie wyłącznie na numerze wersji wyświetlanym przez oprogramowanie.

Źródło: CryptoMeter io