Виявлено 2 вразливості відмови в обслуговуванні в Core Lightning

• Атака переривала ліквідність без необхідності підтримувати відкриті канали з жертвою.
• Версії v26.04 та v26.06rc2 вже містять патчі безпеки для обох вразливостей.

Два помилки, які дозволяли віддаленому зловмиснику вичерпати пам'ять вузла мережі Lightning Bitcoin до його колапсу, були нещодавно виявлені та виправлені.

Виявлення було здійснено розробником Чандрою Пратопом під час його стажування в програмі Summer of Bitcoin. Згідно з доповіддю, опублікованою в Delving Bitcoin 19 липня 2026 року, вразливість безпосередньо впливала на систему зв'язку вузлів.

Конкретно, помилка була в «воротах» програмного забезпечення, тобто в компоненті, який отримує зовнішні повідомлення від інших пар і передає їх до центральної системи, відповідальної за картографування топології мережі. Атакуючи цю точку, система колапсувала, не в змозі обробити надмірну інформацію.

Помилка дизайну дозволяла зловмиснику затопити вузол повідомленнями про оновлення каналів. Оскільки не існувало механізму для зупинки цього потоку, внутрішня черга повідомлень зростала безмежно.

Це призводило до того, що система споживала всю доступну оперативну пам'ять, призводячи до повного колапсу вузла.

Цю першу вразливість було виправлено у версії v26.04 Core Lightning, де було встановлено суворе обмеження, яке відкидає повідомлення, як тільки черга досягає 500 000 елементів.

Поки Пратоп перевіряв ефективність цього першого рішення, він виявив другу вразливість.

У цьому сценарії зловмисник міг надсилати безперервний потік фальшивих коротких ідентифікаторів каналів (SCID). Система, намагаючись зареєструвати ці невідомі канали для подальшого запиту, безмежно виділяла пам'ять у своїй внутрішній карті, знову викликаючи колапс вузла.

На щастя, розробник Core Lightning, Расті Рассел, вже працював над незалежним оновленням для введення механізму автоматичного очищення в карті пам'яті. Цей патч, включений у версію v26.06rc2, ненавмисно, але ефективно пом'якшив цей другий вектор атаки.

Критичність обох вразливостей полягала в їх векторі атаки: вони могли виконуватися віддалено, через взаємодії між парами, без необхідності зловмисника компрометувати кошти в основній ланцюзі або підтримувати відкриті канали з жертвою.

Ці рішення підкреслюють важливість постійних аудитів у внутрішніх комунікаційних шарах програмного забезпечення Bitcoin.

Хоча вирішення цих вразливостей забезпечує технічну стабільність і надійність вузлів Core Lightning, економічна топологія мережі проходить свої власні структурні зміни.

Паралельно з покращеннями безпеки спостерігається зміна тенденції у використанні замороженого капіталу. Як ми нещодавно повідомляли в CriptoNoticias, потужність Lightning Bitcoin різко знижується.

Публічна ліквідність впала на 21,9% з грудня минулого року, з максимуму 5 637 BTC до приблизно 4 400 BTC.

Однак це зменшення не обов'язково означає масовий вихід грошей з Bitcoin, а скоріше переналаштування операторів до більш ефективних ринків оренди ліквідності, таких як Magma, в той час як Lightning починає конкурувати з новими протоколами, які працюють без платіжних каналів, такими як Spark і Ark.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.