Розробник Bitcoin Lightning ACINQ випустив Eclair версії 0.14.6 27 жовтня зі зміцненими вимогами до фінансування та процедурами відновлення для захисту очікуваних платежів. ACINQ закликав операторів нод оновитися, оскільки зловмисні ноди можуть експлуатувати деякі слабкості. Старі версії Eclair залишаються вразливими до виявлених ризиків. Розробники описали можливі порушення безпеки, а не підтверджені крадіжки, і ступінь будь-якої експлуатації невідомий.
Платіжні канали Lightning дозволяють користувачам здійснювати перекази bitcoin, не заносячи кожну транзакцію до блокчейну. Сплайсинг дозволяє операторам збільшувати або зменшувати ліквідність у існуючому каналі. У документації ACINQ попереджається, що пір може маніпулювати фінансуванням каналу, коли інша нода приймає вхідні дані для фінансування, які не мають підтвердження. Зловмисний пір може підписати сплайс, а потім здійснити подвійну витрату невпідтвердженого переказу, що призведе до недійсності угоди про фінансування каналу. Очікуючі платежі, захищені умовними контрактами, відомими як HTLC, можуть стати вразливими, якщо канал пізніше буде закритий у блокчейні bitcoin, оскільки розрахунок залежить від недійсної транзакції.
Новий параметр безпеки вимагає, щоб учасники надавали підтверджені вхідні дані перед внесенням коштів у сплайс каналу. Цей параметр увімкнено за замовчуванням і також блокує додаткові сплайси, які залежать від змін фінансування, що очікують підтвердження. Ці обмеження зменшують можливості зловмисних учасників порушити розрахунки. ACINQ зробив вимогу до сплайсу окремою від існуючих захистів подвійного фінансування, які тепер стосуються виключно створення каналів.
Eclair також змінює спосіб вирішення, коли канал закривається до того, як транзакція фінансування отримає підтвердження. Eclair вибирає зобов’язувальну транзакцію, фінансування якої підтверджується бекендом Bitcoin Core, і за необхідності відходить до останнього підтвердженого стану фінансування. Ця зміна вирішує випадки, коли оператор намагається вирішити через транзакцію фінансування, яка більше не присутня у локальному пули очікуючих транзакцій bitcoin оператора.
Ще одна виправлена помилка стосується транзакцій, які майни підтверджують після того, як Eclair перестає вважати ці транзакції пріоритетним маршрутом розрахунків. Раніше Eclair міг сплутати таку транзакцію з транзакцією контрагента і не зміг би отримати відновлювані кошти та вихідні дані очікуючих платежів. Оновлена логіка виявляє ці транзакції та намагається відновити пов’язані вихідні дані, захищаючи кошти, які інакше залишилися б незаявлені.
ACINQ попередила операторів не використовувати необов’язкову функцію безкомісійного зобов’язання для сплайсингу з ненадійними пірами. Ця функція вже була вимкнена за замовчуванням. У випуску визнано дослідника безпеки Еріка Честарі за відповідальне повідомлення про проблеми, які були виправлені оновленням.
Операторам, які використовують старіші версії, рекомендовано встановити патч і зберігати захищений режим вхідних даних. ACINQ зазначила, що існуючі платіжні канали можуть залишитися відкритими протягом оновлення. Оновлення вимагає, щоб оператори зупинили Eclair, встановили оновлену версію та перезапустили ноду.
Eclair 0.14.6 випущено для підсилення безпеки Bitcoin Lightning Network
CryptoSlateПоділитися
Короткий зміст
ACINQ випустила Eclair 0.14.6 27 жовтня як частину оновлення мережі для підвищення безпеки Bitcoin Lightning Network. Оновлення посилює правила фінансування та процеси відновлення, зменшуючи ризики, пов’язані з непідтвердженими вхідними даними. Воно вимагає підтверджені вхідні дані для сплайсингу каналів та корегує логіку розрахунків для каналів, які закриваються до підтвердження фінансування. ACINQ закликала операторів нод оновитися, щоб запобігти потенційним ризикам безпеки через зловмисних пірів.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.