Core Lightning готовит срочные исправления после AI-отчетов об уязвимостях

Что произошло

Core Lightning сообщил операторам узлов, что им нужно оперативно установить и проверить готовящееся обновление. Если обновиться быстро не получится, проект советует перезапустить узлы с параметром --offline, а не выключать их полностью.

Режим --offline блокирует платежи и соединения с другими узлами Lightning, но программное обеспечение продолжает следить за Bitcoin. Core Lightning объяснил, что это важно на случай, если другая сторона принудительно закроет канал.

Детали

Core Lightning разрабатывает ПО для отправки и маршрутизации платежей Bitcoin через Lightning Network — сеть второго уровня, ускоряющую транзакции.

Команда проекта несколько недель разбирала большой объем AI-сгенерированных CVE-отчетов о возможных уязвимостях. В отдельном сообщении на Core Lightning Discord Server проект заявил, что его команда и внешние участники потратили 10 дней на проверку отчетов из нескольких источников и подготовку исправлений.

Изначально Core Lightning планировал выпустить точечный релиз в течение нескольких дней, но затем решил распространять подписанные воспроизводимые бинарные файлы и держать детали под эмбарго две недели. В этот период проект настоятельно призывает операторов обновиться.

Почему это важно

Lightning-каналы проводят платежи вне блокчейна Bitcoin, а затем рассчитываются в Bitcoin при закрытии. Поэтому фоновое ПО узла должно продолжать работу: оно может отреагировать, если другой участник принудительно закрывает канал.

Core Lightning подчеркнул, что выключенный узел не может следить за цепочкой и реагировать на такие ситуации, поэтому полное отключение считается худшим вариантом по сравнению с режимом --offline.

Контекст

Проект не сообщил, сколько уязвимостей подтвердил, какие действия мог бы предпринять атакующий и были ли эти уязвимости кем-либо использованы.

Core Lightning также заявил, что больше не будет поддерживать более ранние версии, включая 26.04, а версия 26.09 по-прежнему запланирована на конец сентября.

Предупреждение появилось после других случаев, когда Bitcoin-компании и разработчики заявляли, что AI находил уязвимости безопасности в экосистеме.