Патч, добавленный в Lightning Dev Kit (LDK) 25 октября, закрывает уязвимость, которая позволяла внешнему наблюдателю связывать приватные платежные каналы Bitcoin (BTC) с блокчейн-транзакциями, из которых они были открыты.

По данным COINOTAG, уязвимость касалась приватности платежей, а не хранения монет, и не была связана с ценой Bitcoin. Риск заключался в корреляции: каналы, которые участники намеревались сохранять в тайне, могли быть сопоставлены с конкретными блокчейн-транзакциями, открывшими их.

Как нарушается приватность платежных каналов

Lightning Network — это платежная система второго уровня, построенная поверх Bitcoin, в которой пользователи совершают транзакции через платежные каналы. Каждый канал открывается блокчейн-фандирующей транзакцией, как правило — выходом с мультисигнатурой 2 из 2, контролируемым совместно двумя участниками канала; и поскольку блокчейн Bitcoin публичен, эти фандирующие транзакции видны любому.

Одновременно сеть Lightning открыто анонсирует каналы через свой gossip-протокол, включая аутпоинт (комбинацию идентификатора транзакции и индекса выхода), который ссылается на фандирующую транзакцию. Когда аутпоинт канала можно сопоставить с его фандирующей транзакцией, наблюдатель может связать в противном случае приватную активность канала с идентифицируемыми монетами в блокчейне. Уязвимость, устраненная мержем LDK от 25 октября, относилась именно к этому классу утечек отслеживания каналов.

Поскольку обе эти поверхности — публичный блокчейн и gossip-протокол — открыты по своей природе, разделение блокчейн- и внецепочечной активности остается постоянной инженерной задачей для платежей второго уровня, и подобные патчи закрывают отдельные пробелы в этом разделении.

Что такое LDK

Lightning Dev Kit — это реализация протокола Lightning Network на языке Rust, поддерживаемая проектом Lightning Dev Kit, который финансируется компанией Spiral — биткоин-инициативой при поддержке Джека Дорси. Она разработана для встраивания, а не автономной работы: предоставляет биндинги и инструменты, позволяющие разработчикам кошельков интегрировать функциональность Lightning в свои приложения, и используется в потребительских кошельках, таких как BlueWallet.

Модель встраивания определяет и то, как распространяется исправление: после мержа 25 октября патч вошел в кодовую базу LDK, а команды кошельков, использующие LDK, включают его в собственные последующие сборки и релизы, при этом каждый проект устанавливает свой график обновлений. Читатели, желающие следить за практическим внедрением исправления, могут отслеживать релизные каналы кошельков, распространяющих LDK.

Этот материал впервые был опубликован на COINOTAG: https://en.coinotag.com/bitcoin-lightning-dev-kit-patches-channel-tracking-flaw