قالت أسانك إنها أصدرت إكلير 0.14.3 في 14 سبتمبر لإصلاح ثلاث ثغرات في تطبيقها لشبكة لايتنينغ الخاصة ببيتكوين، من بينها ثغرة قد تتيح لطرف نظير خبيث في القناة دفع الرصيد المحلي للضحية إلى رسوم التعدين أثناء الإغلاق التعاوني للقناة.

وفقاً لإفصاح أسانك، أثرت أخطر مشكلة في عمليات الإغلاق التعاوني للقنوات. إذ كان يمكن لطرف مقابل خبيث اقتراح رسوم إغلاق أعلى من الرصيد المتاح للضحية، ما يؤدي إلى دفع الرصيد المحلي بالكامل كرسوم تعدين. ويرفض إكلير 0.14.3 الآن مقترحات الرسوم التي تتجاوز الحد الأقصى المحدد.

كما أصلحت أسانك ثغرة ثانية مرتبطة بالدمج، إذ يمكن أن تصبح الأموال عالقة إذا تُركت عملية الدمج غير مكتملة. وتعلقت مشكلة ثالثة بالتمويل الفوري، حيث كان بإمكان محفظة خبيثة التلاعب بتوقيت الدفع. ويتحقق البرنامج المحدّث الآن من رسوم الترحيل وهوامش الانتهاء قبل الالتزام بالأموال، ويضيف سقفاً افتراضياً لرسوم فتح القنوات.

وقالت الشركة إنه ينبغي للمشغلين الترقية لتجنب الاستغلال. ولا تتضمن المعلومات المتاحة مرجعاً رسمياً لـCVE أو قائمة تفصيلية بالإصدارات المتأثرة تتجاوز إصدار إكلير 0.14.3، كما لا يوجد في المواد المقدمة تقرير مؤكد عن استغلال الثغرات فعلياً قبل إصدار التصحيح.

يصف بحث تقني مستقل مذكور في المواد الداعمة نقطة ضعف ذات صلة في إكلير تتعلق بالمراقبة على السلسلة في ظروف الإغلاق القسري، حيث قد تفشل العقدة في اكتشاف preimage مكشوف إذا كانت تتعقب HTLCs فقط من حالة التزامها المحلية. وتشير هذه المشكلة إلى تحدٍ أمني أوسع في لايتنينغ: فقد يعتمد أمان القناة على كيفية تعامل التطبيقات مع حالات الالتزام القديمة لكنها لا تزال صالحة، وتحديثات الرسوم، وحالات الحافة للتسوية على السلسلة.

لماذا يهم ذلك

يهم هذا التصحيح لأن إكلير برنامج بنية تحتية، وقد تتحول الإخفاقات في طبقة إدارة القنوات إلى خسارة مباشرة للأموال حتى عندما تعمل بيتكوين نفسها بصورة طبيعية. وبالنسبة لمستخدمي لايتنينغ ومشغلي الخدمات، يذكّر الخبر بأن الأمن التشغيلي لا يعتمد على الحفظ والمفاتيح فقط، بل كذلك على تحديثات العميل في الوقت المناسب والمعالجة الموثوقة لسيناريوهات الإغلاق.

كما يضيف إلى نمط أوسع لتشديد تطبيقات لايتنينغ دفاعاتها حول منطق الرسوم وسلوك الإغلاق القسري للقنوات. ومع اعتماد المزيد من النشاط على مسارات الدفع خارج السلسلة، قد تجذب الأخطاء على مستوى التطبيق مزيداً من اهتمام المشغلين ومزودي المحافظ وشركات البنية التحتية التي تعتمد على سلوك تسوية قابل للتنبؤ.