Patch scalony 25 października z Lightning Dev Kit (LDK) zamyka lukę, która pozwalała zewnętrznemu obserwatorowi powiązać prywatne kanały płatności Bitcoin (BTC) z transakcjami on-chain, które je sfinansowały.

Według COINOTAG luka dotyczyła prywatności płatności, a nie powiernictwa monet, i nie wiązała się z ceną Bitcoina. Ekspozycja stanowiła natomiast ryzyko korelacji: kanały, które uczestnicy zamierzali utrzymać w prywatności, mogły zostać dopasowane do konkretnych transakcji on-chain, które je otworzyły.

Jak naruszenie prywatności kanałów płatności dochodzi do skutku

Lightning Network to system płatności drugiej warstwy zbudowany na Bitcoinie, w którym użytkownicy dokonują transakcji za pośrednictwem kanałów płatności. Każdy kanał jest otwierany transakcją finansującą on-chain, zazwyczaj wyjściem multisignature 2-of-2 kontrolowanym wspólnie przez dwóch partnerów kanału, a ponieważ blockchain Bitcoina jest publiczny, transakcje te są widoczne dla każdego.

Jednocześnie sieć Lightning jawnie rozgłasza kanały poprzez swój protokół gossip, w tym outpoint (połączenie identyfikatora transakcji i indeksu wyjścia) odwołujący się do transakcji finansującej. Gdy outpoint kanału można dopasować do jego transakcji finansującej, obserwator może połączyć pozornie prywatną aktywność kanału z identyfikowalnymi monetami on-chain. Luka usunięta w mergu LDK z 25 października należała do tej klasy ekspozycji na śledzenie kanałów.

Ponieważ oba te obszary — publiczny blockchain i protokół gossip — są otwore z założenia, utrzymanie braku powiązania między aktywnością on-chain i off-chain to stałe wyzwanie inżynieryjne dla płatności drugiej warstwy, a patche takie jak ten zamykają pojedyncze luki w tej separacji.

Czym jest LDK

Lightning Dev Kit to implementacja protokołu Lightning Network w języku Rust, utrzymywana przez projekt Lightning Dev Kit, finansowany przez Spiral — inicjatywę rozwoju Bitcoina wspieraną przez Jacka Dorsey'a. Zaprojektowany do osadzania, a nie działania samodzielnego, dostarcza powiązania i narzędzia, które pozwalają deweloperom portfeli integrować funkcjonalność Lightning ze swoimi aplikacjami; jest wykorzystywany w portfelach konsumenckich, takich jak BlueWallet.

Model osadzania kształtuje również sposób, w jaki poprawka trafia do użytkowników: patch jest teraz częścią bazy kodu LDK po mergu z 25 października, a zespoły portfeli budujące na LDK włączają go poprzez własne kolejne kompilacje i wydania, przy czym każdy projekt ustala własne tempo aktualizacji. Czytelnicy, którzy chcą śledzić praktyczne wdrażanie poprawki, mogą obserwować kanały wydawnicze portfeli dystrybucujących LDK.

Ta treść została po raz pierwszy opublikowana na COINOTAG: https://en.coinotag.com/bitcoin-lightning-dev-kit-patches-channel-tracking-flaw