Il team di Core Lightning ha invitato gli operatori dei nodi della rete Lightning di Bitcoin ad aggiornare subito il software se usano la versione 26.06.7 o precedente. L’avviso arriva dopo segnalazioni di aggressori che starebbero prendendo di mira nodi non aggiornati.
Il progetto non ha precisato quali vulnerabilità siano sfruttate né quali conseguenze concrete abbiano già avuto gli attacchi. L’aggiornamento più recente, la versione 26.06.8, contiene però correzioni per falle segnalate responsabilmente e per problemi che potevano coinvolgere la stabilità dei nodi e, in un caso, i fondi degli utenti.
Che cosa chiede Core Lightning agli operatori
Core Lightning è un software open source per gestire nodi sulla Lightning Network di Bitcoin. Nel messaggio diffuso venerdì, il team ha definito l’aggiornamento una misura urgente: chi esegue la versione 26.06.7 o una release precedente deve passare all’ultima versione disponibile nel più breve tempo possibile.
La comunicazione è importante anche per ciò che non chiarisce. Non sono stati indicati i difetti bersagliati dagli aggressori, né è stata quantificata l’eventuale portata dell’impatto. È una scelta che limita i dettagli disponibili agli operatori, ma evita di fornire una descrizione immediatamente utilizzabile per ricostruire un possibile attacco mentre gli aggiornamenti sono ancora in corso.
La correzione arrivata con la versione 26.06.8
Il 16 settembre Core Lightning aveva detto di stare esaminando segnalazioni su un possibile problema nelle funzioni sperimentali del software, potenzialmente capace di incidere sui fondi degli utenti. Circa sei giorni dopo è arrivata la versione 26.06.8.
Le note di rilascio del 22 settembre parlano di correzioni di bug e patch per vulnerabilità comunicate responsabilmente da più fonti. I ringraziamenti citano Bitcoin Red Team, altri 12 soggetti nominati e segnalatori anonimi: un dettaglio che conferma la pluralità delle segnalazioni, senza rivelare il contenuto completo delle falle.
Fra i problemi corretti, il changelog segnala difetti che potevano mandare in crash il nodo del mittente, richieste in grado di esaurire la memoria dell’interfaccia REST e un bug nella chiusura dei canali. Quest’ultimo poteva portare alla perdita di fondi attraverso una penalità. Sono scenari distinti: non implicano che ogni nodo non aggiornato sia stato compromesso, ma spiegano perché il progetto stia sollecitando l’installazione della patch.
Perché i dettagli tecnici restano limitati
Il rilascio ha deliberatamente omesso alcuni test. Secondo Core Lightning, lo scopo era rendere più difficile l’ingegneria inversa delle vulnerabilità e il loro sfruttamento fino a quando un numero maggiore di operatori non avesse aggiornato il proprio nodo.
La cautela segue un’attività di sicurezza già intensa. Ad agosto il team aveva riferito di lavorare a una correzione coordinata dopo aver valutato un elevato numero di segnalazioni CVE generate dall’intelligenza artificiale; due giorni dopo aveva pubblicato la 26.06.7 per i difetti confermati. L’allerta attuale riguarda però proprio le versioni fino a quella release inclusa.
Domande frequenti
Quali versioni di Core Lightning devono essere aggiornate?
L’avviso riguarda espressamente gli operatori che utilizzano la versione 26.06.7 o una precedente. Il team chiede di installare l’ultima release disponibile.
Core Lightning ha spiegato come avvengono gli attacchi?
No. Il progetto ha confermato segnalazioni di aggressori contro nodi non aggiornati, ma non ha indicato quali vulnerabilità siano sfruttate né l’impatto osservato.
Quali problemi risolve la 26.06.8?
Le note di rilascio citano, tra gli altri, crash dei nodi mittenti, esaurimento della memoria nell’interfaccia REST e un difetto nella chiusura dei canali che poteva comportare una perdita di fondi dovuta a una penalità.
Considerazioni finali
La scelta di non pubblicare subito tutti i dettagli tecnici è ragionevole quando esistono segnalazioni di attacchi verso sistemi non aggiornati. In questo caso, il valore dell’avviso non sta nel descrivere scenari ipotetici, ma nell’indicare con precisione la soglia interessata: la 26.06.7 e le versioni precedenti.
Resta essenziale che Core Lightning chiarisca l’impatto non appena ciò sarà compatibile con la sicurezza degli operatori. Per ora pesa soprattutto un fatto documentato: la patch 26.06.8 interviene anche su un bug di chiusura dei canali che poteva causare una perdita di fondi per penalità.