Команда Core Lightning (CLN) подтвердила обнаружение ряда уязвимостей в своей реализации протокола Lightning Network. В ближайшие дни будет выпущен экстренный патч, а технические детали проблем раскроют только после того, как операторы узлов успеют обновиться.
ИИ наводнил отчетами, но баги — реальны
Core Lightning — одна из ключевых реализаций платежного слоя биткоина, развиваемая компанией Blockstream и работающая в основной сети с 2018 года. Так вот, 13 августа команда сообщила, что за последние 10 дней получила множество отчетов об уязвимостях, сгенерированных искусственным интеллектом. Небольшая группа разработчиков и волонтеров вручную отделила зерна от плевел — реальные баги от шума.
Часть отчетов подтвердилась, и плановое техническое обслуживание переросло в скоординированный релиз по безопасности. Первоначальная идея — быстро выпустить «заплатку» — была отвергнута в пользу более тщательного подхода.
Это уже не первый случай за год, когда инфраструктуру биткоина атакуют. В августе BTCPay Server уже предупреждал операторов о необходимости срочного обновления: злоумышленники выводили средства пользователей через уязвимость в работе с учетными данными. А эксплойт в кошельке Coldcard произошел всего несколькими днями ранее.
Двухнедельная отсрочка: почему детали скрывают
Детали уязвимостей намеренно не раскрываются. Согласно публичному отчету, злоумышленники могут быстро собрать рабочий вариант для осуществления эксплойта. Поэтому команда сначала выпустит исправленный софт, а полное описание опубликует уже после апдейта.
Все обновления подписаны разработчиками. Это подтверждает воспроизводимость сборки, и внешние наблюдатели могут сверить релиз с исходным кодом. Исправления закрывают большинство уязвимостей из отчетов.
Рядовые пользователи Lightning на ситуацию повлиять не могут: их платежи идут через узлы, которыми управляют другие люди, а скорость обновления зависит от операторов. У тех, кто не обновится сразу, есть запасной вариант — узел можно временно выключить, и он отключится от сети, но фоновый процесс-демон продолжит работать. Это программа, которая следит за блокчейном и срабатывает, когда закрывается платежный канал.
С ростом популярности Lightning увеличиваются и риски. Технологию уже встроили в некастодиальные мобильные кошельки и платежи внутри мессенджеров, поэтому теперь сбой в маршрутизации затрагивает больше пользователей.
Гендиректор Blockstream Адам Бэк регулярно вступает в публичные споры о направлениях развития масштабирования биткоина. В отличие от его громких слов, незаметная техническая работа редко привлекает внимание массовой аудитории. Оставшиеся без обновления и подключенные к сети ноды представляют риски.
Мой анализ: Ситуация подчеркивает хрупкость даже самых продвинутых решений второго уровня. Пока операторы узлов не проявят дисциплину и не установят патчи в ближайшие 48 часов, сеть остается уязвимой для целенаправленных атак. Это серьезный тест на зрелость для всего Lightning-сообщества.