Core Lightning avverte gli operatori dei nodi dopo segnalazioni di bug generate dall’AI

L’avviso riguarda gli operatori di nodi Lightning che elaborano pagamenti in BTC; Core Lightning pubblicherà prima una release corretta e firmata.

In breve

• Core Lightning avverte gli operatori di nodi dopo che diverse vulnerabilità reali sono emerse da segnalazioni di bug generate dall’AI.
• Gli utenti non devono spegnere i nodi per ora; chi non può aggiornare deve riavviare in modalità offline.
• I dettagli resteranno segreti per due settimane, mentre Core Lightning 26.09 con le correzioni è previsto per fine settembre.

Core Lightning ha avvertito con urgenza gli operatori di nodi dopo una serie di segnalazioni di bug generate dall’AI che hanno fatto emergere diverse vulnerabilità reali. Il software, usato per inviare bitcoin tramite il Lightning Network, secondo gli sviluppatori per ora non va spento. Chi non può aggiornare subito deve riavviare il nodo in modalità offline, così continua a funzionare e può continuare a monitorare i BTC nei payment channels.

Perché la modalità offline conta

Il Lightning Network si appoggia a Bitcoin e rende possibili pagamenti BTC veloci ed economici senza registrare ogni singolo pagamento sulla blockchain. Core Lightning, noto anche come CLN, è uno dei principali pacchetti software per far girare questi nodi e instradare i pagamenti.

Secondo il team, il piccolo gruppo di sviluppo ha iniziato a ricevere a inizio agosto un grande volume di segnalazioni generate dall’AI. Questo tipo di segnalazioni indica possibili punti deboli, dopodiché gli sviluppatori devono capire se il problema è davvero sfruttabile. In questo caso, diverse segnalazioni si sono rivelate corrette. I dettagli resteranno privati per due settimane, mentre viene preparata una versione con le correzioni. Dopodiché il progetto vuole rendere pubblici il codice sorgente e le vulnerabilità.

Cosa devono fare ora gli operatori

La prima istruzione si è diffusa rapidamente sui social media di Bitcoin, ma nel passaggio è stata anche riportata in modo sbagliato. Il punto centrale restava lo stesso: non spegnere la macchina. Un nodo completamente spento non può più vedere se una controparte sta cercando di usare un vecchio saldo quando chiude un payment channel. Avviando Core Lightning con --offline, i processi restano attivi e il nodo continua a seguire la blockchain di Bitcoin, mentre non vengono inviati, ricevuti o instradati nuovi pagamenti.

Core Lightning vuole prima pubblicare versioni firmate della patch, così gli operatori possono verificare che i file arrivino davvero dal team di sviluppo. La release prevista di Core Lightning 26.09 resta comunque in calendario per fine settembre, anche se il progetto non ha detto quali vulnerabilità siano state trovate esattamente né se qualcuno le abbia già sfruttate.

Secondo allarme sicurezza del mese

Per l’infrastruttura Bitcoin è di nuovo un mese agitato. A inizio agosto un errore in BTCPay Server ha reso visibili le credenziali di accesso dei Lightning node, dopodiché gli attaccanti hanno sottratto fondi da alcuni nodi prima che fosse disponibile una correzione. Anche lì l’AI ha avuto un ruolo nel dibattito sulla sicurezza, perché gli sviluppatori hanno detto che l’equilibrio tra attaccanti e difensori si sta spostando.

Il contesto più ampio è che i team di manutenzione open-source vengono sempre più spesso sommersi da segnalazioni generate dall’AI, rendendo più difficile distinguere rapidamente i problemi veri dal rumore. Allo stesso tempo, una recente AI audit del Bitcoin Red Team mostra che nell’ambiente Bitcoin c’è moltissimo codice da controllare: il gruppo ha scansionato 390 progetti e ha trovato 4.962 issue, tra cui 85 critiche. Per i lettori crypto europei è rilevante, perché molta infrastruttura BTC gira su software open-source che incide direttamente sulla sicurezza dei pagamenti e della custody.

Anche altra infrastruttura Bitcoin ha già dovuto affrontare un allarme quest’anno. Con una grave falla di BTCPay, gli operatori hanno dovuto mettere offline i server o aggiornare subito dopo che gli attaccanti erano riusciti a drenare fondi tramite i Lightning node.