Desenvolvedores do Core Lightning (CLN), uma das principais implementações de código aberto do protocolo Lightning Network, estão recomendando que seus usuários atualizem seus nodes com urgência ou então os coloquem em modo offline.
No texto, eles afirmam ter recebido diversos relatórios de vulnerabilidades gerados por Inteligência Artificial (IA) de múltiplas fontes nos últimos dias.
Além do CLN, diversos outros desenvolvedores estão passando pelo mesmo problema. Como exemplo, a Boltz interrompeu seus serviços no início do mês, citando uma onda de ataques com IA. Pouco depois, o BTCPay Server também foi atacado.
Detalhes sobre as vulnerabilidades só serão revelados daqui a duas semanas
Capturas de tela do Discord mostram que a primeira menção sobre vulnerabilidades no Core Lightning (CLN) foi publicada ainda no dia 13 de agosto. Na data, o texto apontava que os problemas foram descobertos por terceiros usando IAs.
“Como muitos projetos de código aberto do Bitcoin, o CLN recebeu diversos relatórios de CVE gerados por IA de múltiplas fontes nos últimos 10 dias. Nossa pequena equipe, junto com vários colaboradores inestimáveis de código aberto, tem trabalhado intensamente para validar e fazer a triagem desses relatórios, além de desenvolver correções onde necessário.”
Finalizando, os desenvolvedores prometem estar trabalhando nos próximos dias para lançar uma atualização contendo correções.
Outra captura de tela, datada de 23 de agosto, mostra que “a situação evoluiu”, assim como a estratégia de remediação. No novo texto, os desenvolvedores recomendam a atualização dos nodes, ou desligamento deles, e que os detalhes só serão revelados após duas semanas.
“Em vez de publicar a atualização pontual esta semana, disponibilizaremos os binários de uma versão que contém as correções para muitas das vulnerabilidades relatadas. Os detalhes do lançamento permanecerão sob embargo por duas semanas. Os binários serão acompanhados pelas assinaturas da equipe para confirmar a reprodutibilidade. Durante o período de embargo, encorajamos fortemente que todos atualizem. Ao final das duas semanas, a versão completa e os detalhes associados se tornarão públicos. Se você optar por não atualizar, recomendamos colocar o seu node em modo –offline. Devido aos riscos conhecidos, não ofereceremos suporte a versões anteriores, incluindo a 26.04. O lançamento da versão 26.09 continua planejado para o final de setembro.”
Nos comentários, outros desenvolvedores confirmaram que a mensagem foi escrita por um moderador do Discord do CLN.
Em suma, o motivo para manter o código-fonte fechado por 14 dias seria para que as atualizações não sejam vistas por potenciais atacantes. No X, por exemplo, Samson Mow, CEO da JAN3, também recomenda que os usuários desliguem seus nodes.
“Até que esses binários sejam disponibilizados, eu colocaria o nó em modo offline. O –offline interrompe as conexões com os pares, portanto o nó não enviará, receberá nem encaminhará pagamentos. Ainda é possível reconectar pares específicos e confiáveis.”
