Core Lightning призвал операторов нод Bitcoin Lightning обновиться до версии 26.06.7 после того, как разработчики подтвердили несколько уязвимостей в безопасности в более ранних версиях open-source платёжного ПО. Предупреждение последовало за всплеском отчётов об уязвимостях, сгенерированных ИИ, которые помогли выявить слабые места.

Версия 26.06.7 вышла 28 августа, при этом детали уязвимостей изначально держались в секрете под двухнедельным эмбарго. Эта задержка дала операторам время установить исправления до того, как злоумышленники смогут изучить изменения — это распространённая в open-source практике схема скоординированного раскрытия информации, при которой сначала выпускаются патчи, а технические подробности публикуются по окончании срока эмбарго. Согласно данным CoinDesk, на момент предупреждения разработчики не обнаружили признаков активной эксплуатации уязвимостей.

Почему это обновление важно

Core Lightning, также известный как CLN, позволяет операторам отправлять, получать и маршрутизировать платежи в биткоинах через Lightning Network — второй уровень, где ПО ноды поддерживает платёжные каналы и отслеживает баланс каждого из них. Скомпрометированная нода может поставить под угрозу средства, хранящиеся в платёжных каналах Lightning.

Операторам, которые не могут обновиться немедленно, разработчики рекомендовали перезапустить CLN с опцией –offline вместо выключения машины. Автономный режим блокирует связь с другими нодами Lightning, позволяя ПО продолжать отслеживание блокчейна биткоина.

Это различие существенно: работающая нода может обнаружить определённые попытки закрытия каналов с использованием устаревших балансов, тогда как полностью выключенная машина такой защиты не обеспечивает. Проект также прекратил поддержку всех версий до 26.06.7, что делает обновление основным шагом по устранению проблемы для затронутых операторов.

Пользователи Docker сталкиваются с дополнительной проверкой

В ходе первоначального развёртывания возникла отдельная проблема для операторов, использующих Docker. Некоторые образы Docker, опубликованные с 28 августа по 1 сентября, отображали версию 26.06.7, но не содержали полных исправлений безопасности. Core Lightning впоследствии обновил затронутые образы, и операторам, загрузившим их в указанный период, следует проверить хеш образа (digest) и получить исправленную версию. Поскольку digest — это идентификатор, основанный на содержимом и связанный с точным содержимым образа, его проверка позволяет отличить исправленную пересборку от неполных, даже если обе отображают один и тот же номер версии.

Этот инцидентёркивает более широкую проблему безопасности для инфраструктуры биткоина: ИИ-инструменты всё чаще выявляют уязвимости в open-source проектах, ускоряя исследования в области безопасности и одновременно усиливая давление на мейнтейнеров, которым приходится быстро реагировать. Для операторов Lightning первоочередной задачей остаётся запуск проверенной, полностью пропатченной версии, а не доверие номеру версии, отображаемому ПО.

Источник: CryptoMeter io