ACINQ informó de que lanzó Eclair 0.14.3 el 14 de septiembre para corregir tres vulnerabilidades en su implementación de Bitcoin Lightning, incluida una que podía permitir a un par de canal malicioso desviar el saldo local de una víctima hacia comisiones de mineros durante un cierre cooperativo del canal.

Según la divulgación de ACINQ, el problema más grave afectaba a los cierres cooperativos de canales. Una contraparte maliciosa podía proponer una comisión de cierre superior al saldo disponible de la víctima, lo que provocaba que todo el saldo local se pagara como comisiones de mineros. Eclair 0.14.3 ahora rechaza las propuestas de comisión que superen el máximo configurado.

ACINQ también corrigió un segundo fallo relacionado con los splices, por el que los fondos podían quedar bloqueados si un splice quedaba sin terminar. Un tercer problema afectaba a la financiación sobre la marcha, donde una cartera maliciosa podía manipular el momento de los pagos. El software actualizado comprueba ahora las comisiones de retransmisión y los márgenes de vencimiento antes de comprometer fondos, y añade un límite predeterminado para las comisiones de apertura de canales.

La empresa indicó que los operadores deberían actualizar para evitar una posible explotación. La información disponible no incluye una referencia CVE formal ni una lista detallada de versiones afectadas más allá del lanzamiento de Eclair 0.14.3, y el material proporcionado no contiene informes confirmados de que los fallos se explotaran activamente antes del parche.

Una investigación técnica independiente citada en el material de apoyo describe una debilidad relacionada de Eclair en la supervisión en cadena durante condiciones de cierre forzoso, en las que un nodo podía no detectar una preimagen revelada si solo rastreaba los HTLC de su estado de compromiso local. Este problema apunta a un desafío de seguridad más amplio para Lightning: la seguridad de los canales puede depender de cómo las implementaciones gestionan estados de compromiso antiguos pero aún válidos, actualizaciones de comisiones y casos límite de liquidación en cadena.

Por qué importa

Este parche importa porque Eclair es software de infraestructura, y los fallos en la capa de gestión de canales pueden traducirse en pérdidas directas de fondos incluso cuando Bitcoin funciona con normalidad. Para los usuarios de Lightning y los operadores de servicios, la noticia recuerda que la seguridad operativa depende no solo de la custodia y las claves, sino también de actualizaciones oportunas del cliente y de una gestión fiable de los escenarios de cierre.

También se suma a un patrón más amplio de implementaciones de Lightning que refuerzan sus defensas en torno a la lógica de comisiones y el comportamiento de cierre forzoso de canales. A medida que más actividad depende de redes de pago fuera de cadena, los errores a nivel de implementación pueden atraer mayor atención de operadores, proveedores de carteras y empresas de infraestructura que dependen de un comportamiento de liquidación predecible.