Core Lightning, som är en av de största mjukvaruklienterna för Bitcoins Lightning Network, varnar för att angripare nu riktar in sig på noder med version 26.06.7 eller äldre. Pengar på de sårbara betalkanalerna kan därför vara i fara.
Lightning Network är ett betalningssystem på andra lagret, byggt ovanpå Bitcoin. Användare väljer det för snabba och billiga betalningar som sker utanför själva blockkedjan.
Vad fixar Core Lightning 26.06.8?
Lösningen har varit offentlig sedan 22 september när version 26.06.8 släpptes. Utvecklarna berättar dock inte exakt vilken sårbarhet angriparna utnyttjar. De håller också tillbaka vissa tekniska detaljer, så att andra inte ska kunna kopiera angreppet så lätt.
Ändringsloggen visar flera buggar som kan kosta nodoperatörer pengar. En nod är datorn som kör Lightning-mjukvaran och håller den Bitcoin som är låst i betalkanaler.
I värsta fall kan en felaktig stängning av kanalen göra så att nodens pengar hamnar hos motparten. Andra buggar gör att angripare kan krascha noder och få de att gå offline.
För de flesta Layer-2-användare av Lightning är risken dock mindre direkt. Bara de som själva kör en Core Lightning-nod måste själva installera uppdateringen.
De flesta som använder Lightning via en plånboksapp har ingen egen nod. I så fall ansvarar oftast app-leverantören för att uppgradera.
Depåplånböcker håller Bitcoin åt sina användare. Om sådan leverantörs nod förlorar pengar får leverantören ta förlusten först. Om användarna ska få tillbaka pengar beror på leverantörens egna villkor, eftersom Lightning saknar insättningsgaranti.
Användare av egna plånböcker, där de själva har kontroll över sina nycklar, styr sitt eget saldo i kanalen. Men om leverantörens nod kraschar kan det ändå tillfälligt stoppa deras betalningar.
Prenumerera på vår YouTube-kanal för att se ledare och journalister ge experttips
Varför blir Lightning-noder enklare mål?
Core Lightning-varningen avslutar en svår period för säkerheten i Lightning. I augusti bekräftade utvecklare riktiga sårbarheter i Lightning efter många AI-skapade buggrapporter.
Tidigare samma månad lyckades angripare stjäla pengar genom en sårbarhet i BTCPay Server som läckte Lightning-uppgifter. BTCPay Server är en öppen betalningstjänst för Bitcoin.
Lightning-noder behåller nycklar online för att kunna skicka och ta emot betalningar direkt. Om programvaran är gammal kan angripare därför få direkt tillgång till pengarna.
Nu kom rapporter om attacker ungefär 10 dagar efter att lösningen släpptes. Om AI-verktyg fortsätter att göra buggupptäckter snabbare kan tidsfönstret bli ännu kortare, och de operatörer som dröjer med uppgraderingar tar därmed risken.
