Уязвимость в необновлённых приложениях сети молний Биткоина может позволить вредоносному пиру канала украсть средства, просто повторно подключившись и отправив ложную информацию о состоянии канала. Под риском находятся пользователи устаревшего ПО Lightning, построенного на Lightning Dev Kit (LDK), а сама ошибка затрагивает широко используемый открытый набор инструментов, от которого зависят многие разработчики кошельков. Поскольку LDK лежит в основе многих пользовательских кошельков, одна ошибка реализации может одновременно затронуть множество приложений, при этом большинство конечных пользователей не знают, какой набор инструментов используется в их кошельке.

Почему необновлённые приложения Lightning рискуют потерей биткоинов

Сеть Lightning — это платёжная система, построенная поверх Биткоина. Она позволяет двум сторонам открыть общий платёжный канал и быстро и дёшево переводить биткоины туда и обратно, не записывая каждую транзакцию в основной блокчейн Биткоина.

Каждый канал хранит баланс, и обе стороны ведут локальную учётную запись того, сколько биткоинов контролирует каждая из них. Именно на эти локальные записи стороны опираются при возобновлении платежей после разрыва соединения. Уязвимость затрагивает приложения, использующие LDK — широко распространённый открытый набор инструментов для создания кошельков и сервисов на базе Lightning.

В необновлённом приложении на LDK вредоносный пир может солгать об истории баланса канала после повторного подключения. Уязвимое приложение может принять это ложное утверждение и некорректно обновить собственные записи, что потенциально позволяет злоумышленнику претендовать на больше биткоинов, чем он фактически держит в канале.

Эта ошибка не является слабостью самого Биткоина или базовой архитектуры протокола Lightning. Это баг конкретной программной реализации, сравнимый с дефектом в онлайн-платформе банка, который не связан с его финансовыми правилами. Приложения на базе LDK, которые не были обновлены, остаются уязвимыми.

Это не первый случай, когда реализации Lightning требуется срочный патч безопасности. Ранее в этом году Eclair, ещё одна реализация Lightning, закрыла отдельную ошибку, которая могла перенаправить балансы каналов майнерам вместо предполагаемых получателей. ПО Lightning поддерживается в виде нескольких независимых реализаций, каждая со своей кодовой базой и графиком обновлений, поэтому баг в одном проекте не сигнализирует о недостатке самого протокола; ответственность за доведение исправлений до пользователей ложится на мейнтейнеров и разработчиков кошельков, распространяющих их код.

Как вредоносный пир канала повторно подключается

В сети Lightning обе стороны должны быть онлайн и на связи, чтобы отправлять платежи через общий канал. Когда одна из сторон отключается и возвращается, обе обмениваются сообщениями для подтверждения текущего состояния канала, включая историю баланса, прежде чем возобновить активность. Такие повторные подключения — обычная часть работы Lightning, поскольку узлы регулярно уходят в оффлайн и должны повторно синхронизироваться с пирами.

Именно в этом рукопожатии при повторном подключении скрывается уязвимость. Нечестный пир может отправить подделанное сообщение во время повторного подключения, заявляя выгодное ему состояние канала. Необновлённое приложение может обработать это ложное сообщение, не заметив несоответствия, как сообщает CryptoSlate.

Важно проводить различие: эта ошибка описывает заявленный риск, а не подтверждную серию краж. Публично задокументированных свидетельств активной эксплуатации уязвимости пока нет. Однако известная, не закрытая ошибка означает, что окно для потенциальной атаки остаётся открытым для любого пользователя, не перешедшего на исправленную версию. Это также отражает структурную реальность одноранговых платёжных систем: участники канала часто незнакомы друг с другом, и на кону стоят средства, поэтому ПО на каждой стороне должно проверять отчёты другой стороны. В данном случае риск возник из-за пробела в этой проверке, а не из-за архитектуры сети.

Инциденты безопасности криптокошельков — не теория. Компрометация одного кошелька может привести к полной потере средств, а уязвимости платёжного ПО входят в число наиболее атакуемых поверхностей в отрасли.

Что следует делать пользователям Lightning

Всем, кто пользуется кошельком или приложением Биткоина Lightning, следует сначала проверить, обновлялось ли приложение в последнее время, прежде чем открывать или использовать платёжные каналы. Разработчики, строящие решения на LDK, как ожидается, выпустят исправленные версии; конечные пользователи должны установить обновление через тот же канал, что и для любого другого обновления ПО — магазин приложений или прямую загрузку.

Пользователям следует воздержаться от открытия новых каналов Lightning и маршрутизации платежей через существующие каналы в необновлённом приложении. Тем, кто не уверен, затронуто ли их приложение, следует напрямую проверить официальные примечания к релизам или объявления о безопасности разработчика и подтвердить наличие исправленной версии, прежде чем возобновлять обычную работу с каналами.

Для тех, кто запускает собственный узел Lightning, рекомендации по безопасности rust-lightning подтверждают, какие версии исправлены; пользователям следует следовать рекомендованному мейнтейнерами пути обновления. Следующий сигнал, за которым стоит следить, — темп выхода исправленных версий и объявлений об обновлениях от провайдеров кошельков на базе LDK, что определит, когда обычные пользователи смогут безопасно возобновить работу с каналами. Такое же внимание к обновлениям относится к любому приложению, управляющему приватными ключами или средствами каналов, поскольку даже цепочки уязвимостей мобильных приложений могут раскрыть зашифрованные данные и личную информацию на устройствах, которые пользователи считают защищёнными.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов связаны со значительным риском. Перед принятием решений всегда обращайтесь к официальным источникам и квалифицированным консультантам.