اِیسینک اعلام کرد که در ۱۴ سپتامبر نسخه Eclair 0.14.3 را برای رفع سه آسیب‌پذیری در پیاده‌سازی بیت‌کوین لایتنینگ خود منتشر کرده است؛ از جمله نقصی که می‌توانست به یک همتای مخرب کانال اجازه دهد هنگام بستن توافقی کانال، موجودی محلی قربانی را به کارمزد ماینرها منتقل کند.

بر اساس افشای اِیسینک، شدیدترین مشکل بر بستن توافقی کانال‌ها اثر می‌گذاشت. یک طرف مقابل مخرب می‌توانست کارمزد بستن را بالاتر از موجودی در دسترس قربانی پیشنهاد دهد و در نتیجه، کل موجودی محلی به‌عنوان کارمزد ماینرها پرداخت شود. Eclair 0.14.3 اکنون پیشنهادهای کارمزدی بالاتر از سقف پیکربندی‌شده را رد می‌کند.

اِیسینک همچنین نقص دومی مرتبط با اسپلیسینگ را برطرف کرد که در صورت ناتمام ماندن یک اسپلیس، ممکن بود باعث بلوکه شدن وجوه شود. مشکل سوم به تأمین مالی آنی مربوط بود؛ جایی که یک کیف پول مخرب می‌توانست زمان‌بندی پرداخت را دست‌کاری کند. نرم‌افزار به‌روزشده اکنون پیش از متعهد کردن وجوه، کارمزدهای رله و بافرهای انقضا را بررسی می‌کند و یک سقف پیش‌فرض برای کارمزدهای باز کردن کانال می‌افزاید.

این شرکت اعلام کرد اپراتورها باید برای جلوگیری از سوءاستفاده، به‌روزرسانی را انجام دهند. اطلاعات موجود شامل ارجاع رسمی CVE یا فهرست دقیقی از نسخه‌های آسیب‌پذیر، فراتر از انتشار Eclair 0.14.3، نیست و در مطالب ارائه‌شده نیز گزارش تأییدشده‌ای مبنی بر بهره‌برداری از این نقص‌ها در عمل پیش از انتشار وصله وجود ندارد.

پژوهش فنی مستقلی که در مطالب پشتیبان به آن اشاره شده، یک ضعف مرتبط در اِکلر را در پایش روی زنجیره هنگام بستن اجباری توصیف می‌کند؛ وضعیتی که در آن یک نود ممکن بود نتواند یک پیش‌تصویر افشاشده را شناسایی کند، اگر فقط HTLCهای وضعیت تعهد محلی خود را ردیابی می‌کرد. این مسئله به چالش امنیتی گسترده‌تری در لایتنینگ اشاره دارد: ایمنی کانال می‌تواند به نحوه مدیریت وضعیت‌های تعهد قدیمی اما همچنان معتبر، به‌روزرسانی‌های کارمزد و شرایط مرزی تسویه روی زنجیره توسط پیاده‌سازی‌ها وابسته باشد.

چرا اهمیت دارد

این وصله اهمیت دارد زیرا اِکلر نرم‌افزار زیرساختی است و خرابی در لایه مدیریت کانال می‌تواند حتی در زمانی که خود بیت‌کوین به‌طور عادی کار می‌کند، به از دست رفتن مستقیم وجوه منجر شود. برای کاربران لایتنینگ و اپراتورهای خدمات، این خبر یادآور آن است که امنیت عملیاتی نه‌تنها به نگهداری دارایی و کلیدها، بلکه به به‌روزرسانی به‌موقع کلاینت و مدیریت قابل‌اعتماد سناریوهای بستن کانال نیز وابسته است.

این موضوع همچنین به الگوی گسترده‌تری از تقویت دفاع‌های پیاده‌سازی‌های لایتنینگ در برابر منطق کارمزد و رفتار بستن اجباری کانال می‌افزاید. با اتکای فعالیت‌های بیشتر به ریل‌های پرداخت خارج از زنجیره، باگ‌های سطح پیاده‌سازی ممکن است توجه بیشتری از سوی اپراتورها، ارائه‌دهندگان کیف پول و شرکت‌های زیرساختی وابسته به رفتار قابل‌پیش‌بینی تسویه جلب کنند.