Core Lightning（CLN）節點營運者被敦促在開發者準備含有一組未公開安全漏洞修補程式的簽署二進位檔期間，先與其對等節點斷開連線。

比特幣開發者 Calle 於 8 月 26 日在 X 上的一則貼文中放大了這項警告，敦促 CLN 營運者在修補軟體可用前先將受影響節點離線。Core Lightning 的 --offline 設定可防止 lightningd 綁定網路埠或重新連線至對等節點，同時仍允許營運者進行本機維護與監控。

這些漏洞尚未與已確認的竊盜事件或任何實際利用行為相關聯。技術細節在修補後的二進位檔分發期間，將在兩週內維持保密。

簽署二進位檔即將發布

Core Lightning 計劃分發可重現的簽署二進位檔，其中包含近期一波安全回報中確認的漏洞修補程式。尚未升級的營運者被要求以 --offline 旗標重新啟動節點，在保留節點存取權的同時切斷對等連線。可重現建置可讓第三方獨立編譯相同原始碼並確認其輸出與已發布二進位檔一致，使營運者能驗證緊急軟體是否對應到已修補的程式碼，而不僅僅信任分發管道。

該專案也已撤回對較舊版本的支援，明確包含 26.04 版。在緊急二進位檔發布前，最新公開標記的建置仍為 Core Lightning v26.06.6。

離線執行並不只是單純關閉 lightningd。節點仍可繼續追蹤比特幣並在本機處理通道狀態，包括強制關閉處理，而外部 Lightning 對等連線則保持停用。

Core Lightning 26.09 仍排定為緊急安全工作完成後的下一個主要版本。

AI 回報觸發密集安全審查

這項安全工作始於 Core Lightning 在 8 月收到大量 AI 生成的漏洞回報，迫使維護者與外部貢獻者驗證發現並在整個程式碼庫中開發修補程式。

該審查正與更大規模的 Bitcoin Red Team 稽核同步進行；該稽核在 501 個開源比特幣專案中產生 7,958 項發現。其中 1,280 項最初被歸類為高風險或重大風險，但每一項在被視為已確認漏洞之前，仍需人工驗證。

在 Coldcard 產生種子失敗之後，比特幣安全團隊越來越常將自動化模型與人工審查結合。Coinkite 最近已推出緊急 Coldcard 韌體，因為弱隨機性暴露了數千個比特幣地址，而損失遠高於 1,700 BTC。

BitBox 本月也另外修補了兩個重大漏洞，包括在特定條件下可導致任意程式碼執行的記憶體破壞路徑；同時 Ledger 最近修補了其 Ethereum 硬體錢包應用程式中的一項漏洞，該漏洞可能允許惡意 dApp 在授權過程中替換交易。

Lightning 基礎設施採取預防性措施

這項警告影響的是 Core Lightning，而非比特幣共識或整體 Lightning 協議。CLN 是主要的 Lightning 實作之一，與 Lightning Labs 的 LND 及 ACINQ 的 Eclair 並列，三者皆透過 BOLT（Basis of Lightning Technology）規格套件互通。該實作最初以 c-lightning 名稱發布，並由 Blockstream 工程師率先開發，以 C 語言撰寫，並在 Elements Project 架構下維護；自 2018 年起已在比特幣主網上運作。

由於 Lightning 節點會在開放式支付通道中持有比特幣，並在網路中為其他使用者轉送付款，因此，對實作層級的漏洞警告會被視為該軟體所有營運者的營運事件，而不只是單一使用者的問題。

在修補後的二進位檔準備期間，下游基礎設施已開始降低曝險。BTCPay Server 已在其預設部署中停用 Core Lightning 與 Eclair 路由，以作為預防措施，為比特幣支付基礎設施整個月的安全工作再添一項營運回應。

在該警告發布時，尚未出現可確認與 CLN 相關的資金損失。營運者仍將在簽署版 Core Lightning 二進位檔發布後轉向使用，至於漏洞細節則在兩週揭露窗口內持續保密。