Core Lightning confirma fallos de seguridad y pide actualizar de inmediato

Core Lightning ha confirmado la existencia de varios fallos de seguridad en su implementación de Lightning Network y solicita a los operadores de nodos que instalen la actualización de seguridad en cuanto se publique. Como medida temporal, el proyecto recomienda que quienes no puedan actualizar de forma inmediata arranquen el nodo con la opción "offline". Esta configuración corta las conexiones con pares y detiene el enrutamiento de pagos de Lightning, mientras el daemon sigue supervisando la cadena de bloques de Bitcoin. Qué ha ocurrido Durante la revisión de un gran lote de informes de CVE generados por IA, los desarrolladores de Core Lightning identificaron varios avisos que sí correspondían a vulnerabilidades reales y que requieren correcciones. El equipo ha evitado publicar detalles técnicos y ha pedido priorizar la instalación de la versión con el parche en cuanto esté disponible. Hasta entonces, iniciar el nodo en modo "offline" permite desconectarlo de sus pares y bloquear pagos entrantes, salientes y reenviados. La organización ha recalcado más tarde que "offline" es una protección provisional mientras se preparan los parches, y que la acción principal debe ser actualizar a la versión corregida cuando se publique. Por qué "offline" (y por qué no basta con apagar el nodo) Mantener el daemon activo en modo "offline" permite que el software continúe siguiendo la cadena de Bitcoin y pueda reaccionar si una contraparte fuerza el cierre (forceclose) de un canal. Un nodo completamente detenido no vigila la cadena; si un socio de canal publica transacciones en Bitcoin mientras el nodo está apagado, el operador podría no detectarlo a tiempo y perder la capacidad de responder. Tras instalar la versión parcheada, es necesario retirar la opción "offline": si se mantiene activada después de actualizar, el nodo seguirá desconectado y no podrá operar con normalidad en Lightning. Qué sigue sin saberse Core Lightning no ha divulgado detalles técnicos de las vulnerabilidades confirmadas: no hay identificadores CVE públicos, no se han publicado niveles de gravedad, no se han concretado componentes o versiones afectadas y no existe evidencia pública de explotación activa. En consecuencia, los operadores deberán guiarse por las instrucciones que acompañen a la próxima versión de seguridad para determinar si su instalación está afectada. Contexto y precedentes Estos problemas confirmados son distintos de los fallos de denegación de servicio divulgados a principios de año, relacionados con el agotamiento de memoria en connectd (gestión de pares) y gossipd (procesamiento del gossip de red). Aquellos errores permitían a pares remotos provocar un uso de memoria sin límite y se corrigieron antes de este aviso. Las actualizaciones de seguridad que obligan a actuar a los operadores son habituales en el ecosistema de software de Bitcoin. El texto cita correcciones recientes de alto perfil en Bitcoin Core, incluida CVE202452911, un error de validación de bloques solucionado en Bitcoin Core 29.0, además de incidentes en otros clientes de Lightning: el problema de fuga de memoria de LND 0.16.3 a mediados de 2023 y la investigación sobre el ataque de replacementcycling que apareció más tarde ese mismo año. Core Lightning indicó que varias propuestas de CVE generadas por IA resultaron válidas, pero no ha publicado rutas de explotación, funciones afectadas ni pasos de reproducción mientras concluye las correcciones. Pasos prácticos para operadores 1. Esté atento a la versión de seguridad de Core Lightning e instálela en cuanto esté disponible. 2. Si no puede actualizar de inmediato, reinicie Core Lightning con la opción "offline" para impedir conexiones y enrutamiento de pagos, manteniendo la vigilancia de la cadena de bloques. 3. Evite detener por completo el daemon salvo que comprenda el riesgo de no detectar transacciones de forceclose. 4. Tras aplicar la actualización, elimine "offline" antes de reiniciar, para que el nodo vuelva a conectarse y reanude pagos y enrutamiento con normalidad. Por el momento, según la información divulgada por Core Lightning, no se han reportado pérdidas ni ataques exitosos vinculados a los nuevos fallos confirmados. El aviso debe tratarse como urgente: aplique la actualización cuando se publique el parche y use "offline" solo como mitigación temporal.