Команда разработчиков Core Lightning (CLN) подтвердила обнаружение серии уязвимостей в кодовой базе Bitcoin Lightning Network. В ближайшие дни будет выпущен пакет обновлений с исправлениями, однако технические детали намеренно раскроют лишь спустя две недели.
Lightning Network, позиционируемая как решение для мгновенных и дешевых биткоин-платежей вне основной цепочки, вновь оказалась в центре внимания безопасности. На этот раз речь идет о проблемах, выявленных в одной из ключевых реализаций протокола — Core Lightning, разрабатываемой компанией Blockstream и работающей в основной сети с 2018 года.
ИИ-отчеты и ручная фильтрация
13 августа команда CLN сообщила, что за последние 10 дней получила множество отчетов об уязвимостях, сгенерированных системами искусственного интеллекта. Небольшая группа разработчиков и волонтеров вручную отделила реальные баги от ложных срабатываний, и часть сообщений подтвердилась. Это превратило плановое техническое обслуживание в полноценный скоординированный релиз безопасности, отказавшись от изначальной идеи быстрого «горячего» патча.
Стоит отметить, что это не первый инцидент за год. Ранее BTCPay Server уже предупреждал операторов о необходимости срочного обновления из-за риска кражи средств через уязвимость в работе с учетными данными. А незадолго до этого в аппаратном кошельке Coldcard была обнаружена проблема, позволяющая злоумышленникам выводить средства.
Двухнедельная задержка и риски для операторов
Детали уязвимостей сознательно не раскрываются. Согласно публичному отчету, злоумышленники могут быстро собрать рабочий эксплойт, поэтому команда сначала выпустит исправленный софт, а полное описание проблем опубликует только после того, как операторы успеют обновиться.
Все обновления будут подписаны разработчиками, что гарантирует воспроизводимость сборки и позволяет внешним аудиторам сверить релиз с исходным кодом. Исправления закрывают большинство выявленных уязвимостей. Операторам узлов настоятельно рекомендуется установить патчи немедленно. Для тех, кто не может обновиться сразу, есть временное решение: отключить узел от сети. В этом случае он отсоединится от сети, но фоновый процесс-демон продолжит следить за блокчейном и корректно закроет открытые платежные каналы.
Рядовые пользователи Lightning, использующие кошельки и платежи через мессенджеры, не могут повлиять на скорость обновления — она полностью зависит от операторов узлов. С ростом популярности технологии риски только увеличиваются, а сбои в маршрутизации затрагивают все больше людей.
Гендиректор Blockstream Адам Бэк регулярно вступает в публичные споры о направлениях масштабирования биткоина, однако именно незаметная техническая работа редко привлекает внимание массовой аудитории. Оставшиеся без обновления и подключенные к сети ноды представляют собой реальную угрозу для всей экосистемы.
Мой взгляд: Ситуация демонстрирует зрелость процесса безопасности в Lightning, но также подчеркивает хрупкость сети: пока операторы не обновятся, средства в каналах остаются под угрозой. Это напоминание о том, что децентрализация требует ответственности от каждого участника инфраструктуры.