Des failles critiques détectées sur le Lightning Network de Bitcoin

Des développeurs alertent sur une vulnérabilité susceptible d'entraîner des pertes de fonds pour les utilisateurs sur le Lightning Network de Bitcoin. Tous les nœuds exécutant les versions 26.04 et ultérieures seraient exposés. Mesure immédiate recommandée : suspendre le routage ainsi que le traitement des paiements. Pour les opérateurs qui ne peuvent pas arrêter complètement leur nœud, l'équipe du projet conseille de redémarrer le processus en arrière-plan avec le paramètre "offline". Dans ce mode, le nœud coupe la connectivité avec les autres nœuds du Lightning Network : aucun paiement ne peut être envoyé, reçu ou routé, mais le logiciel continue de fonctionner et de surveiller la blockchain Bitcoin. La faille s'est vu attribuer un identifiant CVE, sans que les experts n'aient encore détaillé les aspects techniques. Un embargo de deux semaines sur la divulgation vise à laisser le temps aux opérateurs d'appliquer les correctifs avant que des attaquants ne puissent analyser les modifications. Ce n'est pas la première fois que l'IA repère des faiblesses autour de l'écosystème Bitcoin. Fin juillet, un groupe baptisé Bitcoin Red Team, réunissant 16 développeurs, a indiqué avoir utilisé des modèles d'IA pour examiner 390 dépôts du projet Bitcoin. Selon eux, près de 5 000 problèmes de sécurité ont été identifiés, dont 85 classés critiques et 635 jugés de gravité élevée, sans publication de descriptions détaillées. Le Lightning Network fonctionne au-dessus de la blockchain Bitcoin. Il permet d'accélérer les transactions et de réduire les frais en évitant d'inscrire chaque paiement sur la chaîne principale. Deux participants verrouillent une certaine quantité de bitcoins dans un canal de paiement commun, puis mettent à jour à plusieurs reprises la répartition des fonds entre eux. À la fermeture du canal, le solde final est enregistré sur la blockchain. Pour protéger ses fonds, un nœud doit surveiller en continu le réseau : si l'autre partie tente de clôturer le canal en s'appuyant sur des données obsolètes, le nœud peut réagir sur la blockchain. Une machine totalement éteinte ne peut pas le faire. Dans un autre dossier lié à la sécurité, Charles Guillemet, directeur technique du fabricant de portefeuilles matériels Ledger, a déclaré qu'une vulnérabilité affectant la "clear signing" dans l'application Ethereum avait été corrigée. La faille avait été découverte par l'équipe Ledger Donjon à l'aide d'un système de détection de vulnérabilités basé sur l'IA.