Ошибка в Core Lightning, программном обеспечении узлов, которое используют платёжные серверы в сети Lightning Network, может привести к тому, что узел будет падать снова и снова из-за одного некорректного сетевого сообщения, говорится в публикации Crypto Insiders на основе технического раскрытия.
Затронуты версии с 25.02 по 26.04. Уязвимость связана с объявлением канала, из-за которого создаётся впечатление, что у канала два конца указывают на один и тот же компьютер. Программа принимает и сохраняет такое сообщение, а затем падает при попытке передать обновление в сеть. Поскольку сохранённое сообщение считывается заново при каждом запуске, узел выходит из строя после каждого перезапуска. В раскрытии говорится, что злоумышленник может распространить сообщение по сети, не подключаясь напрямую к уязвимому серверу. Ошибку обнаружил исследователь Nishant Bansal.
Core Lightning 26.04.1 отклоняет новые вредоносные сообщения до записи на диск. Уже сохранённое сообщение она не удаляет, поэтому затронутым операторам нужно вручную удалить соответствующую строку из файла gossip_store, а затем установить последнюю версию. Обычным пользователям кошельков менять настройки не нужно.
Риск скорее практический, чем абстрактный. Узел, остающийся офлайн, может пропустить обязательства в открытых платёжных каналах, а у некоторых споров есть сроки в блокчейне Bitcoin, поэтому пропущенный ответ может привести к потере средств. В публикации нет свидетельств того, что ошибку эксплуатировали в больших масштабах.
Операторам, использующим уязвимую версию, следует обновиться и проверить свой gossip store.
Следите за рынком сами с помощью БЕСПЛАТНЫХ инструментов AiTraderView: Crypto Cockpit для графиков и более 75 индикаторов, Crypto Screener для поиска сетапов и Crypto Portfolio для отслеживания ваших активов. Просто создайте БЕСПЛАТНЫЙ аккаунт и попробуйте сами!
Источники:
⚠️ RISK WARNING & AI DISCLOSURE
- This information is generated by Artificial Intelligence (AI) and complex algorithms. While advanced, these systems can contain errors or inaccuracies and are for educational purposes only.
- Technical analysis provides no guarantees; this information is purely informative.
- All discussed scenarios are hypothetical and do not constitute predictions or expectations.
- Past performance is not an indicator of future results.
- This is not financial advice and is not intended as a call-to-action for the reader.
- No implicit direction is claimed, and no specific behavior of market participants is suggested.