Core Lightning potwierdza luki. Poprawki za kilka dni

Core Lightning potwierdziło istnienie kilku luk w oprogramowaniu implementującym protokół Lightning dla Bitcoina. Zespół zapowiedział wydanie poprawek oprogramowania w ciągu kilku dni, a pełny opis techniczny pozostanie objęty embargo przez około dwa tygodnie, do początku września.

Zespół przekazał, że między 3 a 13 sierpnia otrzymał falę zgłoszeń o błędach wygenerowanych przez narzędzia sztucznej inteligencji z wielu źródeł. Mała grupa deweloperów i wolontariuszy przeanalizowała raporty, oddzieliła fałszywe alarmy od prawdziwych błędów i potwierdziła kilka poważnych problemów. W efekcie porzucono plan natychmiastowej, uproszczonej poprawki na rzecz skoordynowanego wydania aktualizacji.

Poprawki, które mają trafić do repozytorium w ciągu kilku dni, będą zawierać podpisy deweloperów umożliwiające weryfikację zgodności binariów z kodem źródłowym. Core Lightning informuje, że aktualizacje naprawią wiele zgłoszonych błędów, ale nie wszystkie znalezione problemy zostaną rozwiązane jednocześnie. Szczegóły techniczne pozostaną objęte embargo, aby utrudnić opracowanie skutecznych exploitów.

Z perspektywy użytkowników środki na kanałach Lightning pozostają chronione przez obecny kod, dopóki ktoś nie wykorzysta odkrytych słabości. Tempo zabezpieczenia sieci zależy od operatorów węzłów, którzy muszą zainstalować wydane poprawki. W komunikacie zespół napisał: „Nie trzeba wyłączać węzła. Nasza rada to zaktualizować. Gdy wydanie się pojawi, sprawdź podpisy i zainstaluj je szybko, a nie ostatecznie.”

Operatorzy mają również opcję odłączenia węzła od sieci, co przerywa połączenia z innymi uczestnikami, podczas gdy proces działający w tle (daemon) nadal śledzi blockchain i reaguje przy zamykaniu kanałów. Core Lightning wskazuje, że pozostawienie daemona aktywnego może być alternatywą dla całkowitego wyłączenia, lecz rekomenduje instalację oficjalnej poprawki po jej wydaniu.

Core Lightning jest jedną z głównych implementacji protokołu Lightning działającą na głównej sieci Bitcoina od 2018 roku i jest wspierana przez Blockstream. Wnioski o wzmocnienie zabezpieczeń pojawiają się w kontekście innych niedawnych incydentów w infrastrukturze Bitcoina: na początku sierpnia ostrzeżenia dotyczące błędu uwierzytelniania opublikował operator BTCPay Server, a kilka dni wcześniej wykryto lukę w portfelu Coldcard.

Embargo na szczegóły ma się zakończyć na początku września, kiedy to zespół zamierza opublikować pełny raport techniczny oraz kod naprawczy udostępniony wraz z podpisami deweloperów.