Scoperte 2 vulnerabilità di denial of service in Core Lightning

• L'attacco interrompeva la liquidità senza la necessità di mantenere canali aperti con la vittima.
• Le versioni v26.04 e v26.06rc2 includono già patch di sicurezza per entrambe le vulnerabilità.

Due errori che permettevano a un attaccante remoto di esaurire la memoria di un nodo della rete Lightning di Bitcoin fino a provocarne il collasso sono stati recentemente scoperti e corretti.

La scoperta è stata effettuata dallo sviluppatore Chandra Pratap durante il suo tirocinio nel programma Summer of Bitcoin. Secondo un rapporto pubblicato su Delving Bitcoin il 19 luglio 2026, la falla influenzava direttamente il sistema di comunicazione dei nodi.

Specificamente, l'errore si trovava nella <<porta d'ingresso>> del software, ovvero il componente che riceve i messaggi esterni da altri peer e li trasferisce al sistema centrale incaricato di mappare la topologia della rete. Attaccando questo punto, il sistema collassava non riuscendo a elaborare l'eccesso di informazioni.

L'errore di progettazione permetteva a un attore malevolo di inondare il nodo con messaggi di aggiornamento dei canali. Non essendoci un meccanismo per fermare questo flusso, la coda interna dei messaggi cresceva indefinitamente.

Questo causava il consumo di tutta la memoria RAM disponibile, portando il nodo a un collasso totale.

Questa prima vulnerabilità è stata risolta nella versione v26.04 di Core Lightning, dove è stato stabilito un limite rigoroso che scarta i messaggi una volta che la coda raggiunge i 500.000 elementi.

Mentre Pratap verificava l'efficacia di questa prima soluzione, ha scoperto una seconda vulnerabilità.

In questo scenario, l'attaccante poteva inviare un flusso continuo di identificatori brevi di canale (SCID) falsi. Il sistema, nel tentativo di registrare questi canali sconosciuti per consultarli successivamente, assegnava memoria nel suo mappa interna in modo illimitato, provocando nuovamente il collasso del nodo.

Fortunatamente, lo sviluppatore di Core Lightning, Rusty Russell, stava già lavorando a un aggiornamento indipendente per introdurre un meccanismo di pulizia automatica nella mappa di memoria. Questa patch, inclusa nella versione v26.06rc2, ha mitigato in modo involontario ma efficace questo secondo vettore di attacco.

La criticità di entrambe le vulnerabilità risiedeva nel loro vettore di attacco: potevano essere eseguite in remoto, tramite interazioni tra peer, senza che l'attaccante dovesse compromettere fondi nella catena principale né mantenere una relazione di canali aperta con la vittima.

Queste risoluzioni sottolineano l'importanza di audit continui nei livelli di comunicazione interna del software di Bitcoin.

Sebbene la risoluzione di queste vulnerabilità garantisca la stabilità tecnica e la robustezza dei nodi di Core Lightning, la topologia economica della rete attraversa i propri movimenti strutturali.

Parallelamente ai miglioramenti della sicurezza, è stato osservato un cambiamento di tendenza nell'uso del capitale immobilizzato. Come riportato recentemente in CriptoNoticias, la capacità di Lightning di Bitcoin sta diminuendo rapidamente.

La liquidità pubblica è diminuita del 21,9% rispetto a dicembre scorso, passando da un massimo di 5.637 BTC a circa 4.400 BTC.

Tuttavia, questa riduzione non implica necessariamente un'uscita massiccia di denaro da Bitcoin, ma piuttosto un riassetto degli operatori verso mercati di affitto di liquidità più efficienti, come Magma, mentre Lightning inizia a competere con nuovi protocolli che operano senza canali di pagamento, come Spark e Ark.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.