Zespół stojący za Core Lightning (CLN), otwartoźródłową implementacją węzła dla sieci Lightning Bitcoin opracowaną przez Blockstream, wezwał operatorów korzystających ze starszych wersji do natychmiastowej aktualizacji po otrzymaniu zgłoszeń o atakujących celujących w niezałatane węzły.

„Pilna aktualizacja bezpieczeństwa: jeśli korzystasz z wersji 26.06.7 lub starszej, zaktualizuj do najnowszego wydania tak szybko, jak to możliwe” — poinformował zespół w piątek.

Core Lightning nie określiło, które podatności są celem atakujących ani jaki wpływ może mieć ta aktywność. Cointelegraph zwrócił się do Core Lightning o komentarz.

16 września Core Lightning poinformowało, że bada zgłoszenia dotyczące potencjalnego problemu wpływającego na funkcje eksperymentalne implementacji, który mógł naruszyć środki użytkowników. Około sześć dni później, 22 września, wydano wersję 26.06.8, która oprócz poprawek błędów zawierała łatki dla „podatności odpowiedzialnie zgłoszonych przez szereg źródeł”. Informacje o wydaniu wymieniają zespół Bitcoin Red Team oraz 12 innych nazwanych osób i grup, a także anonimowych zgłaszających.

Zgodnie z dziennikiem zmian poprawki obejmowały błędy mogące zawiesić węzły nadawców, żądania mogące wyczerpać pamięć interfejsu REST oraz błąd zamykania kanału, który mógł spowodować utratę środków użytkowników w wyniku kary. W sieci Lightning kary to mechanizm protokołu karzący węzeł, który próbuje zamknąć kanał z nieaktualnymi saldami — to właśnie sprawia, że ten błąd jest bezpośrednią drogą do utraty środków z kanału. Wydanie celowo pominięto także niektóre testy, aby utrudnić atakującym inżynierię odwrotną i wykorzystanie podatności, zanim operatorzy dokonają aktualizacji.

Ujawnienia te pokazują, o co chodzi operatorom węzłów: węzły Lightning przechowują środki zablokowane w kanałach płatniczych i przekazują płatności w całej sieci, więc bd w powszechnie używanej implementacji, takiej jak Core Lightning, może oznaczać bezpośrednie ryzyko finansowe, a nie zwykły błąd oprogramowania.

Ostrzeżenie nastąpiło po wcześniejszym zdarzeniu w sierpniu, gdy Core Lightning poinformowało, że pracuje nad skoordynowaną poprawką po przeanalizowaniu dużej liczby zgłoszeń CVE (Common Vulnerabilities and Exposures) generowanych przez AI w ostatnich tygodniach. Dwa dni później wydało wersję 26.06.7, usuwającą potwierdzone podatności.

Dalszy przebieg wydarzeń zależy od szczegółów, których Core Lightning jeszcze nie podało: celowane podatności pozostają nieokreślone, a ewentualne kolejne zalecenie lub odpowiedź na prośbę o komentarz wyjaśniłoby zakres aktywności wymierzonej w węzły nadal działające na niezałatanych wersjach.