Разработчики Core Lightning подтвердили, что в софте Bitcoin Lightning Network найдено несколько уязвимостей. В ближайшие дни команда выпустит обновления с исправлениями, а технические детали раскроет только через две недели.
Lightning проводит небольшие биткоин-платежи за пределами основного блокчейна — через каналы между узлами. Пока операторы не сделают апдейт, средства в этих каналах защищает код, слабые места которого команда уже знает.
Уязвимость на фоне отчетов ИИ-сектора
Core Lightning (CLN) — одна из основных реализаций Lightning Network, платежного слоя биткоина. Проект развивает компания Blockstream, а сам софт работает в основной сети биткоина с 2018 года.
13 августа в команде сообщили, что за предыдущие 10 дней получили из разных источников множество отчетов об уязвимостях, которые сгенерировал ИИ. Небольшая группа разработчиков и волонтеров вручную отделила настоящие баги от шума.
Часть отчетов подтвердилась, поэтому плановое обслуживание переросло в согласованный релиз по безопасности. От первоначального плана — быстро выпустить «заплатку» — команда отказалась.
Инфраструктуру биткоина атакуют уже не в первый раз за год. В августе BTCPay Server предупредил операторов о необходимости срочно обновиться: злоумышленники вывели средства пользователей через уязвимость в работе с учетными данными. А эксплойт в кошельке Coldcard случился несколькими днями раньше.
Двухнедельная отсрочка
Детали не раскрывают намеренно. Согласно публичному отчету об уязвимости, злоумышленники могут быстро собрать рабочий вариант для осуществления эксплойта. Поэтому команда сначала выпустит исправленный софт, а полное описание публикует уже после апдейта.
Все обновления подписаны разработчиками. Это подтверждает повторимость сборки, и внешние наблюдатели могут сверить релиз с исходным кодом. Исправления закрывают большинство уязвимостей из отчетов.
Рядовые пользователи Lightning на ситуацию повлиять не могут: их платежи идут через узлы, которыми управляют другие люди, а скорость обновления зависит от операторов.
У тех, кто не обновится сразу, есть запасной вариант. Узел можно временно выключить — тогда он отсоединится от сети, но фоновый процесс-демон продолжит работать. Это программа в фоне, которая следит за блокчейном и срабатывает, когда закрывается платежный канал.
С ростом популярности Lightning увеличиваются и риски. Технологию уже встроили в некастодиальные мобильные кошельки и платежи внутри мессенджеров, поэтому теперь сбой в маршрутизации затрагивает больше пользователей.
Гендиректор Blockstream Адам Бэк регулярно вступает в публичные споры о направлениях развития масштабирования биткоина. В отличие от его громких слов, незаметная техническая работа редко привлекает внимание массовой аудитории. Оставшиеся без обновления и подключенные к сети ноды представляют риски.
