Core Lightning alerta para nós de Bitcoin vulneráveis
A vulnerabilidade afeta sobretudo os operadores de nós na Lightning Network; a Core Lightning já lançou a atualização 26.06.8 para reduzir os riscos nos payment channels.
Pontos principais
- A Core Lightning alerta que os atacantes estão a visar nós com a versão 26.06.7 ou anterior.
- Os payment channels não atualizados podem perder fundos; a atualização 26.06.8 está disponível desde 22 de setembro.
- Para utilizadores de wallets sem nó próprio, o risco recai geralmente sobre o prestador, enquanto os utilizadores self-custodial continuam a ser responsáveis por si próprios.
A Core Lightning alertou que os atacantes estão a visar nós que executam a versão 26.06.7 ou anterior. Segundo os programadores, os fundos em payment channels não atualizados podem, por isso, ficar em risco. A atualização para a 26.06.8 está disponível desde 22 de setembro, mas muitos utilizadores parecem ainda não a ter aplicado.
O que pode correr mal
A Lightning Network é um sistema de pagamentos de layer-2 sobre o Bitcoin. É utilizada para pagamentos rápidos e baratos que são processados fora da mainchain. Um nó é o computador que executa o software Lightning e gere Bitcoin em payment channels.
No changelog, a Core Lightning refere vários bugs que podem custar dinheiro aos operadores de nós. No pior dos casos, um encerramento incorreto de um channel pode fazer com que o dinheiro desapareça para o outro lado. Outros erros podem fazer com que um nó falhe e fique temporariamente offline.
Os programadores não disseram qual é exatamente a falha que está a ser explorada. Também mantêm, por enquanto, os detalhes técnicos em segredo, para que outros atacantes não consigam copiar facilmente o ataque.
Quem deve atualizar de imediato
Para a maioria dos utilizadores da Lightning, o risco é menos direto. Quem usa a Lightning através de uma app de wallet normalmente não executa o seu próprio nó. Nesse caso, o prestador costuma tratar da atualização.
Isso torna importante a diferença entre self-custody e custody. Nas wallets custodiais, um prestador guarda Bitcoin em nome dos utilizadores. Se esse prestador perder dinheiro no seu nó, isso afeta primeiro o próprio prestador. Se os clientes são compensados depende das condições, porque a Lightning não tem seguro de depósitos.
Os utilizadores de wallets self-custodial mantêm as suas próprias keys e continuam a ser os proprietários do saldo do seu channel. Ainda assim, um nó de prestador em falha pode bloquear pagamentos temporariamente.
Porque é que isto importa mais amplamente
O alerta enquadra-se num período de inquietação em torno da segurança da Lightning. Em agosto, os programadores da Core Lightning já tinham alertado para várias vulnerabilidades depois de relatórios de security gerados por IA terem revelado novos erros. Isso sublinha a rapidez com que software antigo pode tornar-se num alvo quando os nós usam keys online para encaminhar pagamentos em tempo real.
Para os utilizadores europeus de criptomoedas, isto é relevante porque a Lightning é muitas vezes vista como uma camada prática sobre o Bitcoin para pequenos pagamentos. Ao mesmo tempo, mostra que a segurança depende fortemente de quem gere o nó e da rapidez com que as atualizações são instaladas.
Também os alertas anteriores da Core Lightning mostram que o software está há mais tempo sob pressão devido a novas notificações de bugs. Isso torna a atualização rápida ainda mais importante para os operadores de nós.
