Le développeur de Bitcoin Lightning ACINQ a publié la version 0.14.6 d’Eclair le 27 octobre, avec des exigences de financement et des procédures de récupération renforcées pour protéger les paiements en attente. ACINQ a exhorté les opérateurs de nœuds à effectuer la mise à jour, car des nœuds malveillants pourraient exploiter certaines de ces faiblesses. Les anciennes versions d’Eclair restent exposées aux risques identifiés. Les développeurs ont décrit des défaillances de sécurité possibles, mais aucune vol n’a été confirmée, et l’étendue de toute exploitation reste inconnue.
Les canaux de paiement Lightning permettent aux utilisateurs de transférer du bitcoin sans inscrire chaque transaction sur la blockchain. Le splicing permet aux opérateurs d'augmenter ou de réduire la liquidité dans un canal existant. La documentation de publication d'ACINQ avertit qu'un pair peut manipuler le financement du canal lorsqu'un autre nœud accepte des entrées de financement non confirmées. Un pair malveillant pourrait signer un splicing puis effectuer une dépense double d'une transaction non confirmée, invalidant ainsi l'arrangement de financement du canal. Les paiements en attente protégés par des contrats conditionnels appelés HTLC pourraient devenir vulnérables si le canal est ultérieurement fermé sur la blockchain bitcoin, car le règlement dépend de la transaction invalidée.
Un nouvel paramètre de sécurité exige que les pairs fournissent des entrées confirmées avant de contribuer des fonds à un splice de canal. Ce paramètre est activé par défaut et bloque également les splices supplémentaires qui dépendent de changements de financement en attente de confirmation. Ces restrictions réduisent les opportunités pour les pairs malveillants de perturber le règlement. ACINQ a rendu la requirement de splice indépendante des protections existantes de financement dual, qui couvrent désormais spécifiquement la création de canal.
Eclair modifie également le fonctionnement du règlement lorsqu'un canal se ferme avant que la transaction de financement ne reçoive une confirmation. Eclair choisit une transaction d'engagement dont le financement est reconnu par le backend Bitcoin Core, en recourant au dernier état de financement confirmé si nécessaire. Cette modification corrige les cas où un opérateur pourrait tenter de régler via une transaction de financement absente de son pool local de transactions Bitcoin en attente.
Un autre correctif résout les transactions que les mineurs confirment après qu’Eclair ait cessé de les traiter comme la voie de règlement privilégiée. Eclair pouvait précédemment confondre une telle transaction avec la transaction de la contrepartie, empêchant ainsi la réclamation des fonds récupérables et des sorties de paiement en attente. La logique révisée identifie ces transactions et tente de récupérer les sorties associées, protégeant ainsi les fonds qui pourraient autrement rester non réclamés.
ACINQ a averti les opérateurs de ne pas utiliser la fonctionnalité facultative de engagement à frais nuls pour le splicing avec des pairs non fiables. Cette fonctionnalité était déjà désactivée par défaut. La version reconnaît le chercheur en sécurité Erick Cestari pour avoir signalé de manière responsable les problèmes couverts par cette mise à jour.
Les opérateurs utilisant des versions plus anciennes ont été invités à installer le correctif et à garder la protection des entrées confirmées activée. ACINQ a indiqué que les canaux de paiement existants peuvent rester ouverts pendant toute la mise à jour. La mise à jour nécessite aux opérateurs d'arrêter Eclair, d'installer la version mise à jour et de redémarrer le nœud.
Eclair 0.14.6 publié pour renforcer la sécurité du réseau Lightning Bitcoin
CryptoSlatePartager
Résumé
ACINQ a publié Eclair 0.14.6 le 27 octobre dans le cadre d'une mise à niveau du réseau visant à améliorer la sécurité du Bitcoin Lightning Network. Cette mise à jour renforce les règles de financement et les processus de récupération, réduisant les risques liés aux entrées non confirmées. Elle impose l'utilisation d'entrées confirmées pour le splicing de canaux et ajuste la logique de règlement pour les canaux se fermant avant la confirmation du financement. ACINQ a exhorté les opérateurs de nœuds à effectuer la mise à jour afin d'éviter les risques de violation de sécurité provenant de pairs malveillants.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.