Обнаружены 2 уязвимости отказа в обслуживании в Core Lightning

• Атака прерывала ликвидность без необходимости поддерживать открытые каналы с жертвой.
• Версии v26.04 и v26.06rc2 уже включают патчи безопасности для обеих уязвимостей.

Недавно были обнаружены и исправлены две ошибки, которые позволяли удаленному злоумышленнику исчерпать память узла сети Lightning Bitcoin до его коллапса.

Обнаружение было проведено разработчиком Чандрой Пратоп во время его стажировки в программе Summer of Bitcoin. Согласно отчету, опубликованному в Delving Bitcoin 19 июля 2026 года, ошибка напрямую затрагивала систему связи узлов.

Конкретно, ошибка находилась в <<входной точке>> программного обеспечения, то есть в компоненте, который принимает внешние сообщения от других узлов и передает их в центральную систему, отвечающую за отображение топологии сети. Атакуя эту точку, система коллапсировала, не в состоянии обработать избыток информации.

Ошибка проектирования позволяла злоумышленнику затопить узел сообщениями об обновлении каналов. Поскольку не существовало механизма для остановки этого потока, внутренняя очередь сообщений росла бесконечно.

Это приводило к тому, что система использовала всю доступную оперативную память, что в итоге приводило к полному коллапсу узла.

Первая уязвимость была исправлена в версии v26.04 Core Lightning, где был установлен строгий лимит, который отбрасывает сообщения, как только очередь достигает 500.000 элементов.

Пока Пратоп проверял эффективность этого первого решения, он обнаружил вторую уязвимость.

В этом сценарии злоумышленник мог отправить непрерывный поток поддельных коротких идентификаторов канала (SCID). Система, пытаясь зарегистрировать эти неизвестные каналы для последующего обращения к ним, выделяла память в своей внутренней карте без ограничений, снова вызывая коллапс узла.

К счастью, разработчик Core Lightning, Расти Рассел, уже работал над независимым обновлением для введения механизма автоматической очистки в карте памяти. Этот патч, включенный в версию v26.06rc2, неумышленно, но эффективно смягчил этот второй вектор атаки.

Критичность обеих уязвимостей заключалась в их векторе атаки: они могли выполняться удаленно, через взаимодействия между узлами, без необходимости злоумышленнику компрометировать средства в основной цепи или поддерживать открытые каналы с жертвой.

Эти решения подчеркивают важность постоянных аудитов внутренних коммуникационных слоев программного обеспечения Bitcoin.

Хотя решение этих уязвимостей обеспечивает техническую стабильность и надежность узлов Core Lightning, экономическая топология сети проходит свои собственные структурные изменения.

Параллельно с улучшениями безопасности наблюдается изменение тенденции в использовании замороженного капитала. Как мы недавно сообщали в CriptoNoticias, возможности Lightning Bitcoin стремительно падают.

Публичная ликвидность упала на 21,9% с декабря прошлого года, снизившись с максимума в 5.637 BTC до примерно 4.400 BTC.

Тем не менее, это сокращение не обязательно означает массовый вывод средств из биткойна, а скорее перераспределение операторов к более эффективным рынкам аренды ликвидности, таким как Magma, в то время как Lightning начинает конкурировать с новыми протоколами, которые работают без платежных каналов, такими как Spark и Ark.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.