Разработчики Core Lightning подтвердили, что несколько уязвимостей в ПО Lightning Network биткоина реальны. Команда опубликует пропатченные обновления ПО в течение дней, но технические детали остаются секретными на две недели.
Lightning перемещает мелкие биткоин-платежи вне основного блокчейна через каналы между узлами. Пока операторы не установят исправление, деньги, припаркованные в этих каналах, сидят за кодом, который команда уже знает как уязвимый.
Уязвимость Lightning Network биткоина всплыла из потока ИИ-отчётов
Core Lightning (CLN) — одна из главных реализаций Lightning Network, платёжного слоя биткоина. Blockstream поддерживает проект, и ПО работает в основной сети биткоина с 2018 года.
13 августа команда сообщила, что за предыдущие 10 дней получила волну сгенерированных ИИ отчётов об уязвимостях из множества источников. Небольшая группа разработчиков и волонтёров затем отсортировала реальные баги от шума.
Несколько отчётов подтвердились. Этот результат превратил рутинную уборку в скоординированный релиз безопасности, и команда отказалась от исходного плана быстрого патча.
Инфраструктура биткоина принимала повторные удары в этом году. В августе BTCPay Server предупредил операторов обновиться после того, как атакующие вывели средства пользователей через уязвимость в учётных данных. Эксплойт кошелька Coldcard всплыл днями ранее.
Что двухнедельное эмбарго означает для пользователей биткоина
Утаивание деталей — в этом суть. Атакующие, читающие публичный отчёт о баге, часто могут построить рабочий эксплойт в течение часов. Поэтому команда сначала выпускает исправленное ПО и публикует полный отчёт в начале сентября.
Обновления несут подписи разработчиков, подтверждающие воспроизводимость, так что посторонние могут проверить, что релиз соответствует исходному коду. Исправления покрывают многие из сообщённых уязвимостей, хотя и не каждую.
У обычных пользователей Lightning здесь нет рычага. Их платежи идут через узлы, которые запускают другие люди, так что темп развёртывания лежит на этих операторах.
У операторов, пропускающих обновление, есть запасной вариант. Отключение узла обрывает его связи с другими узлами, оставляя демон живым. Демон — это фоновая программа за узлом, следящая за блокчейном и реагирующая, когда платёжный канал закрывается.
Ставки растут по мере того, как Lightning достигает большего числа людей. Недавние продукты втолкнули его в самокастодиальные мобильные кошельки и платёжные инструменты чат-приложений, что расширяет группу, подверженную сбою маршрутизации.
Гендиректор Blockstream Адам Бэк провёл большую часть 2026 года в публичных спорах о направлении масштабирования биткоина. Тихая работа по обслуживанию вроде этой редко собирает такую же аудиторию.
Узлы, оставленные непропатченными и онлайн, несут риски, которые разработчики описывают как известные, но пока не станут детализировать. Эмбарго снимается в начале сентября, что даёт операторам ясную полосу для обновления, пока детали остаются недоступны.
Источник: BeInCrypto
