Команда Core Lightning (CLN) — реализации узла Bitcoin Lightning Network с открытым исходным кодом, разработанной Blockstream, — призвала операторов, использующих более старые версии, немедленно выполнить обновление после получения сообщений об атаках на необновленные узлы.

«Срочное обновление безопасности: если вы используете версию 26.06.7 или более раннюю, пожалуйста, обновитесь до последнего релиза как можно скорее», — сообщила команда в пятницу.

Core Lightning не уточнила, какие уязвимости эксплуатируют злоумышленники и каков возможный ущерб. Cointelegraph обратился в Core Lightning за комментариями.

16 сентября Core Lightning сообщила, что изучает сообщения о потенциальной проблеме в экспериментальных функциях реализации, которая может затронуть средства пользователей. Примерно через шесть дней, 22 сентября, вышла версия 26.06.8 с исправлениями ошибок и патчами для «уязвимостей, ответственно раскрытых рядом источников». В примечаниях к релизу упоминаются Bitcoin Red Team, еще 12 названных лиц и групп, а также анонимные информаторы.

Согласно changelog, исправления устранили ошибки, способные вызвать сбой узлов отправителей, запросы, которые могли исчерпать память REST-интерфейса, и баг закрытия канала, из-за которого пользователи могли потерять средства в виде штрафа. В Lightning Network штрафы — это механизм протокола, наказывающий узел, который пытается закрыть канал с устаревшими балансами; именно поэтому этот баг представляет собой прямой путь к потере средств канала. В релизе также намеренно не были опубликованы некоторые тесты, чтобы злоумышленникам было сложнее провести обратную разработку и эксплуатировать уязвимости, пока операторы выполняют обновление.

Эти раскрытия подчеркивают, что поставлено на карту для операторов узлов: узлы Lightning хранят средства, заблокированные в платежных каналах, и маршрутизируют платежи по сети, поэтому уязвимость в широко используемой реализации, такой как Core Lightning, означает прямой финансовый риск, а не обычную программную ошибку.

Предупреждение последовало за инцидентом в августе, когда Core Lightning сообщила о работе над скоординированным исправлением после анализа большого объема сгенерированных ИИ отчетов Common Vulnerabilities and Exposures (CVE), поступивших в последние недели. Через два дня вышла версия 26.06.7, устраняющая подтвержденные уязвимости.

Что произойдет дальше, зависит от деталей, которые Core Lightning еще не раскрыла: целевые уязвимости остаются неуточненными, и любое последующее уведомление или ответ на запрос комментария прояснит масштаб активности против узлов, все еще работающих на необновленных версиях.