Розробники Core Lightning підтвердили, що кілька вразливостей у програмному забезпеченні Bitcoin Lightning Network є реальними. Команда опублікує оновлення з виправленнями протягом кількох днів, але технічні деталі залишаються секретними протягом двох тижнів.
Lightning переміщує невеликі платежі bitcoin з основного блокчейну через канали між нодами. Доки оператори не встановлять виправлення, кошти, розміщені в цих каналах, залишаються за кодом, який команда вже знає, що є несправним.
Вразливість Bitcoin Lightning Network виявилася через потік звітів про ШІ
Core Lightning (CLN) — це одна з основних реалізацій Lightning Network, платіжного шару Bitcoin. Проект підтримується Blockstream, а програмне забезпечення працює на головній мережі Bitcoin з 2018 року.
13 серпня команда повідомила, що за попередні 10 днів отримала хвильу звітів про вразливості, згенерованих штучним інтелектом, з кількох джерел. Мала група розробників і волонтерів розділила реальні баги від шуму.
Кілька звітів були затримані. Цей результат перетворив звичайне очищення на координоване безпечне випускання, і команда відмовилася від свого початкового плану швидкого патчу.
Інфраструктура bitcoin цього року зазнала кількох ударів. У серпні BTCPay Server попередив операторів оновитися після того, як нападники вивели кошти користувачів через вразливість у облікових даних. Експлойт для гаманця Coldcard з’явився за кілька днів до цього.
Що означає двотижневий заборона для користувачів bitcoin
Приховування деталей — суть справи. Зловмисники, які читають публічний звіт про помилку, часто можуть створити працюючий експлойт всього за кілька годин. Тому команда спочатку випускає виправлене програмне забезпечення, а повний звіт публікується на початку вересня.
Оновлення містять підписи розробників, що підтверджують відтворюваність, тому зовнішні сторони можуть перевірити, чи відповідає реліз вихідному коду. Виправлення стосуються багатьох з повідомлених недоліків, хоча не всіх.
Звичайні користувачі Lightning не мають контролю над цим. Їхні платежі проходять через ноди, які запущені іншими людьми, тому темп розгортання залежить від цих операторів.
Оператори, які пропускають оновлення, мають запасний варіант. Вимкнення ноди розриває її з’єднання з іншими нодами, залишаючи демон живим. Демон — це фонова програма, що працює за нодою, спостерігає за блокчейном і реагує при закритті платіжного каналу.
Ставки зростають, оскільки Lightning досягає все більше людей. Останні продукти вивели його до самоконтрольованих мобільних гаманців та інструментів оплати через чат-додатки, що розширює групу, що вразлива до відмови маршрутизації.
Генеральний директор Blockstream Адам Бек провів багато 2026 року у публічних суперечках щодо напрямку масштабування Bitcoin. Тиха робота з підтримки, подібна до цієї, рідко привертає таку ж аудиторію.
Ноди, які залишилися без патчів і підключені до мережі, несуть ризики, які розробники описують як відомі, але ще не деталізують. Обмеження на розголошення знятим у початку вересня, що надає операторам чіткий час для оновлення, поки деталі залишаються недоступними.