Core Lightning ostrzega przed podatnymi węzłami Bitcoina
Luka dotyczy przede wszystkim operatorów węzłów w Lightning Network; Core Lightning wydał już aktualizację 26.06.8, aby ograniczyć ryzyko w payment channels.
Najważniejsze informacje
- Core Lightning ostrzega, że atakujący celują w węzły z wersją 26.06.7 lub starszą.
- Nieaktualizowane payment channels mogą stracić środki; aktualizacja 26.06.8 jest dostępna od 22 września.
- W przypadku użytkowników portfeli bez własnego węzła ryzyko zwykle leży po stronie dostawcy, natomiast użytkownicy self-custodial pozostają sami za siebie odpowiedzialni.
Core Lightning ostrzegł, że atakujący celują w węzły działające na wersji 26.06.7 lub starszej. Według deweloperów środki w nieaktualizowanych payment channels mogą przez to być zagrożone. Aktualizacja do wersji 26.06.8 jest dostępna już od 22 września, ale wielu użytkowników najwyraźniej jeszcze jej nie wdrożyło.
Co może pójść nie tak
Lightning Network to system płatności warstwy 2 zbudowany na Bitcoinie. Służy do szybkich i tanich płatności rozliczanych poza mainchainem. Węzeł to komputer, który uruchamia oprogramowanie Lightning i zarządza Bitcoinem w payment channels.
W changelogu Core Lightning wymienia kilka błędów, które mogą kosztować operatorów węzłów pieniądze. W najgorszym przypadku błędne zamknięcie kanału może sprawić, że środki trafią na drugą stronę. Inne błędy mogą spowodować awarię węzła i jego tymczasowe wyłączenie.
Deweloperzy nie podali, który dokładnie błąd jest wykorzystywany. Na razie wstrzymują też szczegóły techniczne, aby inni atakujący nie mogli łatwo skopiować ataku.
Kto powinien natychmiast zaktualizować oprogramowanie
Dla większości użytkowników Lightning ryzyko jest mniej bezpośrednie. Osoby korzystające z Lightning przez aplikację portfela zwykle nie uruchamiają własnego węzła. W takim przypadku aktualizacją zazwyczaj zajmuje się dostawca.
To sprawia, że różnica między samodzielnym zarządzaniem a custody jest istotna. W przypadku portfeli custodial dostawca przechowuje Bitcoin w imieniu użytkowników. Jeśli taki podmiot straci środki na swoim węźle, najpierw dotyczy to samego dostawcy. To, czy klienci otrzymają rekompensatę, zależy od warunków, ponieważ Lightning nie oferuje ubezpieczenia depozytów.
Użytkownicy portfeli self-custodial przechowują własne klucze i nadal sami są właścicielami salda swojego kanału. Jednak niedziałający węzeł dostawcy może tymczasowo blokować płatności.
Dlaczego ma to szersze znaczenie
To ostrzeżenie wpisuje się w niespokojny okres wokół bezpieczeństwa Lightning. W sierpniu deweloperzy Core Lightning ostrzegali już przed kilkoma podatnościami po tym, jak generowane przez AI raporty bezpieczeństwa ujawniły nowe błędy. Pokazuje to, jak szybko stare oprogramowanie może stać się celem, gdy węzły używają kluczy online do routowania płatności w czasie rzeczywistym.
Dla europejskich użytkowników krypto ma to znaczenie, ponieważ Lightning jest często postrzegany jako praktyczna warstwa nad Bitcoinem do drobnych płatności. Jednocześnie pokazuje to, że bezpieczeństwo w dużej mierze zależy od tego, kto zarządza węzłem i jak szybko instalowane są aktualizacje.
Także wcześniejsze ostrzeżenia Core Lightning pokazują, że oprogramowanie od dłuższego czasu znajduje się pod presją nowych zgłoszeń błędów. To dodatkowo zwiększa znaczenie szybkiej aktualizacji dla operatorów węzłów.
