Ongepatchte Bitcoin Lightning-nodes lopen risico op leeggetrokken kanalen
Core Lightning vraagt gebruikers om versie v26.06.10 te installeren. De update dicht meerdere beveiligings- en toegangsfouten die kanalen kunnen laten leeglopen.
Wat er gebeurde
Core Lightning heeft v26.06.10 uitgebracht om problemen met kanaalbeveiliging, betalingsafhandeling en externe toegang te verhelpen.
De nieuwe versie voegt controles toe bij dual-funded channel opening en bij splicing. Die controles controleren transactiesignaturen volgens de Lightning BOLT 2 specificatie.
Een bug kon ervoor zorgen dat een recent verwijderd HTLC verward werd met een actief HTLC met dezelfde payment hash, bedrag en expiry. Door die verwarring kon een node een live betaling upstream laten mislukken terwijl de peer die betaling nog kon claimen.
De update weigert channel opens als een peer een dust limit boven 5.000 satoshis voorstelt. Voorheen kon een peer bij een forced close een deel van de balans als fees laten wegvallen. Dual-funded opens weigeren ook een peer-dust limit die hoger is dan de channel reserve.
De maintainers houden beveiligingsfix-tests tijdelijk achter om te vertragen hoe snel patches in werkende exploits worden omgezet. Ze raden aan om zo snel mogelijk te upgraden en tegelijkertijd de credentials voor remote commando's te controleren en te beperken.
Waarom dit telt
Voor wie een Core Lightning node draait betekent dit dat upgraden en het controleren van externe toegangsrechten belangrijk is om het risico op kanaalverlies en mislukte betalingen te verminderen.
Waar je op kunt letten
- Installeer v26.06.10 en controleer commando-credentials (runes) op onverklaarbare items.
- Bind runes aan het juiste node ID en blacklist runes die u niet kunt verantwoorden.
- Let op waarschuwingen over dual funding en het advies om zero-confirmation kanalen met niet-vertrouwde peers te vermijden.