Core Lightning виправляє вразливість, яка могла б дозволити скасованому стану каналу уникнути штрафу

Core Lightning, реалізація вузлів мережі Lightning, усунула недолік у версії 26.06.7, що дозволяв одній стороні транслювати застарілий, анульований стан каналу без ризику покарання за обман.

У поясненні Bitcoin Optech від 25 вересня наводяться деталі цього виправлення, яке стосується операторів, що все ще використовують старі версії. У мережі Lightning партнери замінюють попередні зобов’язання каналу у міру зміни балансів.

Якщо одна сторона транслює анульоване зобов’язання, інша повинна мати змогу заявити про покарання.

До виправлення Core Lightning могла вважати такий випадок спільним закриттям, якщо її виходи відповідали вже зареєстрованим сценаріям закриття. Це залежало від специфічної конфігурації каналу.

Сторона, яка не вказала сценарій закриття на момент відкриття каналу, могла пізніше вказати вихідний сценарій свого анульованого зобов’язання.

Вона могла потім відмовитися від спільного закриття і транслювати старе зобов'язання, оскільки лише збіг виходів робив транзакцію легітимною, що обходить штрафні наслідки. Виправлення перевіряє час блокування транзакції та кодування послідовності, щоб розпізнати зобов'язання перед перевіркою його виходів.

У матеріалах описується потенційний спосіб уникнути покарання, але не підтверджене крадіжка.

Це питання обробки каналів Core Lightning, а не зміна основних правил блокчейну Bitcoin. Операторам рекомендовано оновити Core Lightning до версії 26.06.8, яка містить додаткові виправлення безпеки.

Вразливі версії програмного забезпечення не означають, що кожен канал може бути використаний для атак.

Операторам, які використовували образи Docker під час первісного розгортання, також слід перевірити дайджест образу, оскільки деякі з них не містили виправлень, попри те, що на старті повідомляли про нову версію. Історія версій розділяє два виправлення: Core Lightning випустив версію 26.06.7 28 серпня, потім 11 вересня опублікував вихідний код, а 15 вересня у головну гілку розробки було внесено зміни.

Версія 26.06.8 з'явилася 22 вересня з іншими виправленнями безпеки.

Звіт Optech від 25 вересня пояснює вже здійснене виправлення недоліку закриття.