Core Lightning hat mehrere Sicherheitslücken in seiner Bitcoin-Lightning-Network-Software bestätigt und Knotenbetreiber aufgefordert, ein bevorstehendes Sicherheitsupdate zu installieren oder ihre Knoten vorübergehend offline zu betreiben.
Zusammenfassung
- Core Lightning bestätigte mehrere Schwachstellen nach der Überprüfung einer großen Anzahl von KI-generierten CVE-Berichten.
- Knotenbetreiber wurden aufgefordert, das Sicherheitsupdate zu installieren, wobei der Offline-Modus als vorübergehende Option für diejenigen angeboten wurde, die auf ein Upgrade warten.
- Ein Knoten, der offline betrieben wird, stoppt Lightning-Zahlungen und Routing, während der Daemon weiterhin die Bitcoin-Blockchain überwachen kann.
- Core Lightning hat weder den Schweregrad der Schwachstellen, CVE-Identifikatoren noch Hinweise auf Ausnutzung oder damit verbundene Verluste offengelegt.
Core Lightning sagte am Donnerstag, dass seine Entwickler eine große Anzahl von KI-generierten Common-Vulnerabilities-and-Exposures-Berichten überprüft hätten und bestätigten, dass mehrere Einsendungen echte Probleme identifizierten, die behoben werden müssen.
Das Projekt riet den Betreibern, als Hauptempfehlung ein Upgrade durchzuführen. Betreiber, die das Sicherheitsrelease nicht installiert haben, können Core Lightning mit der Option –offline neu starten, die verhindert, dass der Knoten Verbindungen zu Peers herstellt und Zahlungen eingehen, ausgehen oder durch ihn geleitet werden.
Core Lightning beschrieb die Offline-Einstellung zunächst als Schutzmaßnahme, während Korrekturen vorbereitet wurden, stellte jedoch später klar, dass Betreiber nach Verfügbarkeit der gepatchten Software das Upgrade priorisieren sollten.
Technische Details zu den neu bestätigten Schwachstellen wurden nicht veröffentlicht. Core Lightning hat weder deren Schweregrad offengelegt, öffentliche CVE-Identifikatoren zugewiesen noch Beweise dafür gemeldet, dass Angreifer die Schwachstellen ausgenutzt haben.
Core-Lightning-Knoten können aktiv bleiben, ohne Zahlungen zu leiten
Die Verwendung der –offline-Einstellung ermöglicht es dem Core-Lightning-Daemon, aktiv zu bleiben, während der Knoten vom Lightning-Netzwerk getrennt wird.
Unter dieser Konfiguration akzeptiert ein Knoten keine eingehenden Peer-Verbindungen und versucht nicht, sich mit bestehenden Peers zu verbinden. Zahlungen können daher nicht durch den betroffenen Knoten fließen, während der Betreiber auf die Installation des Sicherheitsupdates wartet.
Core Lightning sagte, Betreiber sollten die Software nicht einfach stoppen, da ein aktiver Daemon weiterhin der Bitcoin-Blockchain folgen und reagieren kann, wenn eine andere Partei einen Lightning-Kanal zwangsweise schließt.
Ein vollständig gestoppter Knoten kann dieselbe Überwachung nicht durchführen, während er offline bleibt. Kanal-Gegenparteien können Transaktionen an Bitcoin veröffentlichen, wenn Kanäle geschlossen werden, was die fortlaufende Blockchain-Überwachung zu einem normalen Bestandteil des Betriebs von Lightning-Knoten macht.
Sobald Betreiber die gepatchte Version installiert haben, sollten sie laut Core Lightning die –offline-Option entfernen, bevor sie normal neu starten. Wenn die Einstellung nach dem Upgrade aktiviert bleibt, würde der Knoten von seinen Peers getrennt bleiben und daran gehindert, Lightning-Zahlungen zu senden, zu empfangen oder zu leiten.
Die Empfehlung gilt, während Entwickler Schwachstellen beheben, die bei ihrer Überprüfung von KI-generierten Sicherheitseinsendungen gefunden wurden. Core Lightning hat nicht öffentlich beschrieben, welche Komponenten betroffen sind oder welche Bedingungen erforderlich wären, um die bestätigten Schwachstellen auszunutzen.
Das Projekt hat auch nicht offengelegt, ob alle unterstützten Softwareversionen betroffen sind, sodass Betreiber von den Upgrade-Anweisungen abhängig sind, die dem Sicherheitsrelease beiliegen.
Neue Core-Lightning-Schwachstellen folgen auf frühere DoS-Korrekturen
Die neu bestätigten Probleme sind getrennt von Denial-of-Service-Schwachstellen, die früher in diesem Jahr offengelegt wurden und Core-Lightning-Knoten aus der Ferne zum Absturz bringen konnten.
Zwei verwandte Schwachstellen betrafen Speichererschöpfung in separaten Core-Lightning-Daemons. Eine betraf connectd, die Komponente, die Peer-Verbindungen verwaltet, während eine andere gossipd betraf, das Netzwerkinformationen verarbeitet, die von Lightning-Knoten verwendet werden.
Im Fall von connectd konnte ein entfernter Peer eine unbegrenzte Speichernutzung auslösen und schließlich einen Out-of-Memory-Absturz verursachen. Das Problem wurde vor der neuesten Schwachstellenwarnung behoben.
Eine weitere Schwachstelle ermöglichte es einem entfernten Peer, gossipd mit Kanalaktualisierungsnachrichten zu überfluten, wodurch eine interne Karte für unbekannte kurze Kanal-IDs weiterhin Speicher verbrauchte, bis die Maschine nicht mehr reagierte oder abstürzte.
Beide Probleme beruhten auf Ressourcenerschöpfung, während Core Lightning nicht mitgeteilt hat, ob die neu bestätigten Schwachstellen ähnliche Komponenten oder Angriffsmethoden betreffen.
Sicherheitsupdates, die Knotenbetreiber zur Installation aktualisierter Software verpflichten, sind auch in diesem Jahr an anderer Stelle in der Bitcoin-Infrastruktur aufgetaucht. Im Mai berichtete crypto.news zuvor, dass Bitcoin Core einen Fehler offenlegte, der es Minern ermöglichen könnte, verwundbare Knoten aus der Ferne zum Absturz zu bringen.
Der als CVE-2024-52911 verfolgte Fehler betraf Bitcoin-Core-Versionen nach Version 0.14.0 und vor Version 29.0. Die Entwickler hatten ihn bereits in Bitcoin Core 29.0, das im April 2025 veröffentlicht wurde, behoben, bevor sie die Schwachstelle im Mai 2026 öffentlich bekannt gaben.
Der Fehler betraf den Skript-Interpreter von Bitcoin Core während der Blockvalidierung. Ein speziell konstruierter ungültiger Block konnte dazu führen, dass ein Knoten auf Daten zugreift, nachdem der entsprechende Speicher freigegeben wurde, was möglicherweise zum Absturz der Software führte. Bitcoin Core sagte, dass Remote-Codeausführung möglich, aber aufgrund von Einschränkungen bei Blockdaten unwahrscheinlich sei.
Bitcoin-Softwareprojekte haben weiterhin Knotenrisiken gepatcht
Ein separater Datenschutzfehler in Bitcoin Core wurde im Juni durch den Release-Kandidaten 31.1rc1 behoben, zusammen mit Änderungen, die Blockchain-Validierung, Wallets, Netzwerk und MuSig2-Sicherheit betreffen.
Das Datenschutzproblem betraf PrivateBroadcast, eine Funktion, die dazu dient, die Informationen zu reduzieren, die bei der ersten Übertragung von Transaktionen offengelegt werden. Die Entwickler veröffentlichten den Fix vor der nächsten stabilen Bitcoin-Core-Version und baten die Benutzer, den Release-Kandidaten vor der Produktionsbereitstellung zu testen.
Lightning-Implementierungen waren auch schon früher mit softwarespezifischen Problemen konfrontiert. Im Juni 2023 wurden Betreiber der LND-Implementierung von Lightning Labs davor gewarnt, auf Version 0.16.3 zu aktualisieren wegen eines Speicherlecks.
Das Problem führte dazu, dass die Speichernutzung der Software im Laufe der Zeit zunahm und schließlich einen Knoten zum Absturz bringen konnte. Betreiber, die LND 0.16.3 bereits installiert hatten, wurde damals geraten, auf Version 0.16.2 zurückzugehen, während die Entwickler das Problem behoben.
Ein weiteres Lightning-Sicherheitsproblem tauchte später im Jahr 2023 auf, als der Entwickler Antoine Riard Replacement-Cycling-Angriffe beschrieb, die gegen Lightning-Zahlungskanäle eingesetzt werden könnten. Riard zog sich anschließend aus der Lightning-Network-Entwicklung zurück, nachdem er argumentiert hatte, dass das Problem Änderungen erfordere, die über kurzfristige Abschwächungen hinausgehen.
Riard sagte damals, dass in den vorangegangenen 10 Monaten keine Replacement-Cycling-Angriffe in freier Wildbahn beobachtet oder gemeldet worden seien, während ein funktionierender Test existierte, um einen betroffenen Lightning-Kanal gegen den Bitcoin-Core-Mempool zu testen.
Die Schwachstelle bestand darin, eine unbestätigte Transaktion unter bestimmten Bedingungen zu ersetzen, was möglicherweise die Transaktionssequenz beeinträchtigte, die zum Schutz von Geldern in Lightning-Kanälen verwendet wird. Riard sagte, dass bestehende Abschwächungen Angriffe erschweren könnten, sie jedoch nicht als dauerhafte Lösung betrachtete.
Core Lightning hat Details zu den neuesten Fehlern zurückgehalten
Für die aktuellen Core-Lightning-Schwachstellen haben Betreiber Schutzanweisungen vor der technischen Offenlegung der zugrunde liegenden Fehler erhalten.
Das Projekt hat gesagt, dass mehrere KI-generierte CVE-Einreichungen gültig waren, aber es hat die betroffenen Funktionen, Angriffspfade oder Bedingungen, die zur Reproduktion der Probleme erforderlich sind, nicht veröffentlicht.
Bisher wurden keine Verluste oder erfolgreichen Angriffe im Zusammenhang mit den neu bestätigten Fehlern gemäß der Offenlegung von Core Lightning gemeldet.
Betreiber, die noch nicht aktualisiert haben, wurden stattdessen angewiesen, –offline zu verwenden, während der Daemon weiterläuft, sodass die Software weiterhin Bitcoin für kanalbezogene Transaktionen verfolgen kann, ohne an Lightning-Zahlungen teilzunehmen.
Nach der Installation des Sicherheitsupdates sagte Core Lightning, dass Betreiber, die die temporäre Konfiguration verwenden, –offline entfernen müssen, um ihre Knoten wieder mit Peers zu verbinden und den normalen Zahlungs- und Routing-Betrieb wieder aufzunehmen.
