Core Lightning cảnh báo về những lỗ hổng thực sự được phát hiện trong các báo cáo do AI tạo ra

Core Lightning, đội ngũ phát triển một trong những triển khai nút mạng Bitcoin Lightning được sử dụng rộng rãi nhất, đã đưa ra cảnh báo bảo mật khẩn cấp sau khi một làn sóng báo cáo lỗ hổng do AI tạo ra phát hiện ra các vấn đề thực tế. Trong một bài đăng trên X (Twitter) vào thứ Tư, Core Lightning thông báo cho các chủ nút rằng một số vấn đề được đánh dấu bởi các báo cáo CVE tự động là hợp lệ và các nhà phát triển đang phối hợp để khắc phục. Các chủ nút được khuyến nghị cài đặt và xác minh bản cập nhật sắp tới ngay khi nó được phát hành — và nếu không thể nâng cấp ngay lập tức, hãy khởi động lại nút của họ với cờ --offline thay vì tắt hoàn toàn. Tại sao không chỉ tắt nút đi? Core Lightning giải thích rằng cờ được khuyến nghị sẽ vô hiệu hóa kết nối đồng đẳng và ngừng định tuyến thanh toán vào hoặc ra, nhưng vẫn giữ cho daemon của nút chạy nền để tiếp tục theo dõi chuỗi Bitcoin. Việc giám sát nền này cực kỳ quan trọng: các kênh Lightning Network được thanh toán trên-chain khi chúng đóng, và một nút đang hoạt động có thể phản ứng nếu đối tác buộc đóng kênh. Một nút đã tắt hoàn toàn thì không thể làm được điều đó, do đó việc tắt nút là lựa chọn tệ nhất theo đội ngũ này. Dự án cho biết đội ngũ lõi nhỏ của họ, cùng với các đóng góp từ bên ngoài, đã dành khoảng 10 ngày để xem xét một lượng lớn báo cáo do AI tạo ra từ nhiều nguồn khác nhau. Ban đầu, Core Lightning dự định phát hành một bản cập nhật điểm nhanh, nhưng thay vào đó sẽ phân phối các tệp nhị phân đã ký và có thể tái tạo, đồng thời giữ bí mật chi tiết kỹ thuật ít nhất hai tuần trong khi hoàn thiện các bản vá và người dùng cập nhật nút của họ. Đội ngũ chưa tiết lộ số lượng lỗ hổng họ xác nhận, kẻ tấn công có thể đạt được điều gì, hay liệu đã có bất kỳ vụ khai thác nào được quan sát thấy hay không. Hướng dẫn thực tế từ dự án: - Xác minh chữ ký trên bản phát hành sắp tới và cài đặt ngay lập tức. - Nếu không thể nâng cấp ngay, hãy khởi động lại nút với --offline để chặn thanh toán và kết nối đồng đẳng, đồng thời duy trì giám sát trên-chain. - Các phiên bản cũ (bao gồm cả 26.04) sẽ không còn được hỗ trợ; phiên bản 26.09 vẫn dự kiến ra mắt vào cuối tháng Chín. Cảnh báo này xuất hiện trong bối cảnh xu hướng chung về nghiên cứu bảo mật hỗ trợ bởi AI đang phát hiện ra các lỗ hổng trên toàn bộ hệ sinh thái Bitcoin. Vào tháng Bảy, nhà sản xuất ví phần cứng Coinkite cho biết kẻ tấn công đã sử dụng AI để tìm ra điểm yếu trong quá trình tạo seed của Coldcard, liên quan đến hàng triệu bitcoin bị đánh cắp. Đầu tháng này, Boltz đã tạm ngừng dịch vụ sau khi kẻ tấn công dường như phát hiện ra các điểm yếu nhanh hơn nhóm có thể vá chúng. Đội Bitcoin Red Team tình nguyện đã ghi lại quy mô của hiện tượng này: các cuộc đánh giá do AI hỗ trợ của họ đã tạo ra 4.962 phát hiện khả dĩ trên 390 dự án Bitcoin, trong đó 85 ban đầu được đánh giá là nghiêm trọng và 635 cực kỳ nghiêm trọng (một số có thể là kết quả sai). Nhà phát triển ẩn danh và thành viên Red Team Calle cho biết mục tiêu là tìm ra lỗ hổng trước khi kẻ tấn công làm điều đó: “Hiện tại, đây là câu hỏi về thời gian,” anh nói thêm rằng AI đã hạ thấp rào cản để những người không có đào tạo bảo mật truyền thống tạo ra các vụ khai thác toàn diện. Thông điệp của Core Lightning rất rõ ràng: hãy coi đây là một sự kiện bảo mật đang diễn ra. Cài đặt và xác minh các tệp nhị phân đã vá ngay khi chúng được phát hành, hoặc sử dụng --offline để giữ nút an toàn nhưng vẫn có khả năng bảo vệ tài sản trên-chain — và tránh chỉ đơn giản tắt nút và để các kênh không được giám sát. Cộng đồng và các đội khác sẽ theo dõi sát sao khi các chi tiết và bản vá được triển khai trong thời gian phong tỏa hai tuần.