Core Lightning, implementasi Lightning Network yang diurus oleh Blockstream, mengeluarkan amaran segera pada 26 Ogos memberitahu pengendali nod untuk mematikan nod mereka segera. Masalahnya: versi yang telah diperbaiki belum dikeluarkan, bermakna pengendali tidak dapat mengemas kini walaupun ingin melakukannya. Satu-satunya pilihan mereka sekarang ialah mencabut kuasa.
Sebarang nod yang menjalankan versi CLN 26.04 atau lebih awal terjejas, dan versi-versi tersebut tidak akan lagi menerima sokongan. Penyelenggara mengatakan binari bertandatangan untuk rilis yang telah diperbaiki sedang disiapkan, tetapi kerentanan spesifik akan kekal di bawah embargo dua minggu.
Apa yang memicu amaran tersebut
Pengungkapan itu berlaku selepas pembangun CLN menerima banjir laporan CVE yang dihasilkan AI dalam tempoh sepuluh hari. CVE, atau Kekerapan Lela dan Paparan Umum, adalah cara piawai yang digunakan penyelidik keselamatan untuk menandakan kelemahan perisian. Menerima lonjakan laporan tersebut, terutamanya yang dihasilkan oleh alat AI berbanding penyelidik manusia, ternyata mengungkap isu-isu boleh dieksploitasi yang sebenar dalam proses tersebut.
Pasukan belum menerbitkan butiran teknikal, yang merupakan amalan biasa untuk kerentanan kritikal di mana pemanfaatan segera adalah mungkin. Tempoh larangan dua minggu memberi masa kepada pengendali untuk membaiki sebelum penyerang boleh merekabentuk semula pembaikan untuk memahami kelemahan tersebut.
Piha ketiga sudah memberi respons
Start9, yang menyediakan perisian pelayan sendiri termasuk pakej nod Lightning, telah mengeluarkan versi pakej CLN 26.6.6 pada 26 Ogos. Kemas kini ini secara automatik meletakkan nod CLN ke dalam mod luar talian, menonaktifkan sambungan masuk dan fungsi pembayaran Lightning.
Pendekatan ini mempertahankan dana di rantai dan keadaan saluran. Saluran Lightning melibatkan dana yang dikunci dalam transaksi Bitcoin multisignature. Tidak online tidak bermaksud kehilangan wang, tetapi kehilangan kemampuan sementara untuk menghantar pembayaran atau mendapatkan yuran penghantaran.
Kerapuhan Lightning terpapar
Pada hari yang sama, CLN mengeluarkan amaran, satu pengungkapan kerentanan yang berasingan muncul untuk LND, pelaksanaan Lightning yang bersaing yang dibangunkan oleh Lightning Labs. Kelemahan itu mempengaruhi versi LND sebelum 0.21.0.
Kedua-dua pelaksanaan Lightning utama yang menghadapi pengumuman keselamatan secara serentak menimbulkan persoalan terhadap ketahanan Rangkaian Lightning secara keseluruhan. CLN dan LND bersama-sama mewakili sebahagian besar kapasiti Rangkaian Lightning.
Nod Lightning Network yang pergi offline secara besar-besaran akan mengurangkan laluan pembayaran dan likuiditi yang tersedia di seluruh rangkaian. Pembayaran yang biasanya berjaya melalui lompatan melalui beberapa nod yang terhubung dengan baik mungkin gagal atau memerlukan yuran yang lebih tinggi untuk mencari laluan alternatif.