ACINQ, компания за реализацией Eclair сети Lightning, призвала операторов узлов обновить своё программное обеспечение после серии исправлений безопасности. Согласно сообщению CryptoSlate, разработчики Bitcoin Lightning забили тревогу из-за уязвимостей, выпустив второй патч в течение пяти дней в рамках активных усилий по закрытию уязвимостей протокола.

Сеть Lightning — это платёжный уровень, построенный поверх Bitcoin. Она позволяет пользователям отправлять биткоины мгновенно и с низкой комиссией, маршрутизируя платежи через сеть соединённых платёжных каналов, а не записывая каждую транзакцию напрямую в блокчейн Bitcoin. С базовым блокчейном взаимодействуют только открытие и закрытие канала, что и делает возможными платежи большого объёма с низкими комиссиями.

Eclair — одна из наиболее широко используемых реализаций сети Lightning наряду с другими независимыми реализациями, такими как LND от Lightning Labs и Core Lightning от Blockstream, все из которых взаимодействуют в одной одноранговой сети. ACINQ поддерживает это ПО, а также управляет Phoenix Wallet, одним из наиболее популярных некастодиальных кошельков Lightning. Операторы узлов Eclair формируют часть магистрали платёжной сети Lightning.

Два патча за пять дней: о чём говорят обновления

Этот темп выделяется. Выпуск двух патчей безопасности подряд за короткое время — явление необычное, и обычно это означает, что разработчики обнаружили уязвимость, выпустили первоначальное исправление, а затем выявили либо связанную проблему, либо неполное исправление, потребовавшее дополнительного обновления.

Конкретные технические детали уязвимостей публично не раскрыты в полном объёме, что соответствует стандартной практике. Исследователи безопасности и разработчики часто откладывают публикацию полных деталей до тех пор, пока значительная часть операторов не обновится, чтобы не давать злоумышленникам чёткий план действий, пока узлы остаются необновлёнными. Для наблюдателей практическими ориентирами являются официальные примечания к релизам и предупрежденияINQ, в которых указаны версии с исправлениями; более полные технические детали могут появиться после широкого принятия обновления.

Почему это важно для операторов узлов Lightning

Эксплуатация необновлённого узла Lightning несёт реальный финансовый риск. Каналы Lightning хранят реальные биткоины, заблокированные в ончейн-контрактах, и уязвимость теоретически может позволить злоумышленнику эксплуатировать узел и вывести средства из открытых каналов.

Это отличается от программной ошибки, которая может привести лишь к сбою или разрыву соединения. Уязвимости безопасности в ПО платёжных каналов могут иметь прямые финансовые последствия для операторов, не применивших доступные исправления.

Общую картину того, как инциденты безопасности могут влиять на криптоинфраструктуру, иллюстрирует случай, когда кошельки, связанные с эксплуататором Drift, перевели 109 миллионов долларов в Tornado Cash — пример того, как быстро похищенные средства могут перемещаться после использования уязвимости на практике.

Что операторам Eclair следует сделать перед обновлением

Призыв ACINQ адресован операторам, использующим Eclair в промышленной среде. Перед применением любого обновления к работающему узлу Lightning следует учесть несколько разумных шагов.

Во-первых, ознакомьтесь с официальными примечаниями к релизу, опубликованными ACINQ. В них указано, какая версия содержит исправления безопасности, и перечислены требования совместимости. Не следует полагаться на сторонние обзоры для получения рекомендаций по конкретным версиям; репозиторий ACINQ на GitHub и официальные каналы являются авторитетными источниками.

Во-вторых, запланируйте окно обслуживания. Обновление узла Lightning требует его кратковременного отключения. Открытые платёжные каналы не будут потеряны при плановом перезапуске, но проведение обновления в период низкой активности снижает любые помехи маршрутизации и платежам в процессе.

В-третьих, создайте резервную копию данных состояния каналов перед применением обновления. Хотя современные реализации Lightning автоматически управляют состоянием, дополнительная резервная копия перед изменением ПО — разумная мера предосторожности.

После обновления операторам следует наблюдать за узлом, чтобы убедиться, что он переподключается к пирам, каналы возвращаются в активное состояние, а маршрутизация возобновляется нормально. Если после обновления что-то выглядит подозрительно, сообщить о проблеме следует через каналы поддержки ACINQ и форумы сообщества.

Своевременное напоминание об обслуживании ПО в криптоинфраструктуре

Работа узла Lightning — не деятельность по принципу «настроил и забыл». Патчи безопасности, обновления протокола и обновления совместимости требуют постоянного внимания от всех, кто эксплуатирует инфраструктуру, хранящую или маршрутизирующую реальные средства. Поскольку узлы непрерывно взаимодействуют с пирами и обеспечивают соблюдение чувствительных ко времени правил контрактов, поддержание ПО в актуальном состоянии — основная операционная обязанность, а не необязательная задача.

Темп двух патчей за пять дней напоминает, что даже зрелые, хорошо поддерживаемые проекты с открытым исходным кодом сталкиваются с активными угрозами безопасности. Операторы, оперативно применяющие обновления, существенно сокращают окно своей уязвимости. А поскольку сеть Lightning состоит из множества независимо управляемых узлов, своевременная установка патчей отдельными операторами — также часть коллективной устойчивости сети.

Для людей, использующих кошельки Lightning как конечные пользователи, а не операторы, это обновление требует каких-либо прямых действий. Стеком ПО управляют провайдеры кошельков и операторы узлов. Тем не менее полезно знать, что команды, поддерживающие ПО Lightning, серьёзно относятся к вопросам безопасности и быстро реагируют на выявленные проблемы.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов сопряжены со значительным риском. Всегда проводите собственное исследование перед принятием решений.