Los nodos de Bitcoin Lightning sin parches enfrentan un error que drena canales

Core Lightning, el software para operar nodos de pago de Bitcoin Lightning, está instando a los usuarios a instalar la versión v26.06.10 para abordar fallos de seguridad en los canales, resolución de pagos y acceso remoto.

Los mantenedores también recomiendan revisar las credenciales utilizadas para comandos remotos, haciendo de las restricciones de acceso una tarea separada junto con la actualización del software.

El aviso de lanzamiento recomienda actualizar tan pronto como sea práctico. Los mantenedores han retenido temporalmente las pruebas de corrección de seguridad para ralentizar la conversión de parches en exploits funcionales y dar a los operadores más tiempo para actualizar.

La nueva versión agrega verificaciones sobre las firmas de transacción de un par durante la apertura y empalme de canales financiados por Bitcoin, siguiendo la especificación BOLT 2 del protocolo Lightning, según el changelog etiquetado.

Un contrato de pago condicional de Bitcoin, conocido como HTLC, que acaba de ser eliminado podría confundirse con uno activo que comparte su hash de pago, monto y fecha de caducidad. El nodo podría entonces fallar el pago activo aguas arriba, aunque su par aún podría reclamarlo.

Otra corrección rechaza las aperturas de canal cuando un par propone un límite de polvo superior a 5,000 satoshis. El changelog dice que el comportamiento anterior permitía que un par recortara el saldo del nodo en tarifas durante un cierre forzado. Las aperturas financiadas por dos también rechazan el límite de polvo de un par cuando excede la reserva del canal.

El financiamiento dual sigue siendo experimental, y los mantenedores desaconsejan los canales de cero confirmaciones con pares no confiables. El lanzamiento también rechaza una apertura de cero confirmaciones v2 a menos que el operador haya configurado la aceptación para ese par.

Los nodos que han ejecutado master no pueden degradar a la serie 26.06.x porque su esquema de base de datos es más nuevo.

GitHub muestra una fecha de lanzamiento del 4 de noviembre para la v26.06.10, mientras que su changelog etiquetado data la misma versión el 5 de noviembre. El lanzamiento sigue a las correcciones de seguridad de la v26.06.9 y al fallo de activación almacenado separado del 2 de noviembre.

Core Lightning: parchea el nodo, revisa el acceso remoto

La versión 26.06.10 agrega verificaciones de software. Los mantenedores también aconsejan a los operadores que vinculen y revisen las credenciales de comando emitidas.

Instala la v26.06.10 y revisa las runas de comando: vincúlalas al nodo previsto y reemplaza las credenciales que no puedes justificar.

• Los mantenedores de Core Lightning recomiendan encarecidamente que todos los usuarios actualicen a la v26.06.10 tan pronto como sea práctico; el lanzamiento contiene correcciones de seguridad y está disponible de inmediato. Guía de lanzamiento y runas de Core Lightning v26.06.10
• La versión 26.06.10 agrega verificación de las tx_signatures de un par durante la apertura y empalme de canales financiados por dos, de acuerdo con BOLT 2. Changelog etiquetado de la v26.06.10: correcciones de canal y comando remoto Guía de lanzamiento y runas de Core Lightning v26.06.10
• El nuevo lanzamiento evita el eludir las restricciones de runas pname con nombres de parámetros duplicados o variantes de puntuación, corrige un fallo de comando causado por la reutilización de ID de comando después de un comando fallido, y rechaza runas sobredimensionadas en lugar de gastar tiempo cuadrático decodificándolas. Changelog etiquetado de la v26.06.10: correcciones de canal y comando remoto
• Commando envía a un par directamente conectado una solicitud para ejecutar un comando; el par generalmente requiere una runa que autorice ese comando. Referencia oficial de la interfaz de commando
• Los mantenedores recomiendan vincular las runas utilizadas a través de commando al ID del nodo de la aplicación autorizada, poner en lista negra las runas que los operadores no pueden justificar con blacklistrune, y reemplazarlas con credenciales más restringidas. Guía de lanzamiento y runas de Core Lightning v26.06.10
• El financiamiento dual sigue siendo experimental; el lanzamiento desaconseja los canales de cero confirmaciones con pares no confiables y rechaza una apertura de cero confirmaciones v2 a menos que esté configurada para aceptar una de ese par. Guía de lanzamiento y runas de Core Lightning v26.06.10 Changelog etiquetado de la v26.06.10: correcciones de canal y comando remoto

Esquema de correcciones seleccionadas y prácticas de mantenimiento. No establece que cada credencial esté apropiadamente restringida o que se haya producido explotación.

Método: Esquema de dos superficies de software documentadas, con detalles seleccionables de verificación de canal y comando remoto. Las flechas muestran solicitudes y pasos de mantenimiento, no transferencias de bitcoin, tráfico medido o una prueba de acceso en vivo.

Revisión del comando remoto de credenciales de Bitcoin

La interfaz de commando de Core Lightning permite a un par directamente conectado solicitar que un nodo ejecute un comando. El par generalmente necesita una runa, una credencial de autorización que permite el comando.

La actualización cierra una forma de eludir las restricciones de runas sobre los nombres de parámetros utilizando nombres duplicados o variantes de puntuación. También corrige un fallo de commando desencadenado por la reutilización de un ID de comando después de un comando fallido y rechaza runas sobredimensionadas que anteriormente consumían un trabajo excesivo de decodificación.

Los mantenedores recomiendan vincular las runas utilizadas a través de commando al ID del nodo de la aplicación mediante una restricción id. También aconsejan a los operadores que pongan en lista negra las runas que no pueden justificar utilizando blacklistrune, y luego emitir reemplazos con restricciones más estrictas.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.