A ACINQ informou ter lançado o Eclair 0.14.3 em 14 de setembro para corrigir três vulnerabilidades em sua implementação do Bitcoin Lightning, incluindo uma que poderia permitir a um par de canal malicioso direcionar o saldo local de uma vítima para taxas de mineração durante o fechamento cooperativo de um canal.

Segundo a divulgação da ACINQ, o problema mais grave afetava os fechamentos cooperativos de canais. Uma contraparte maliciosa poderia propor uma taxa de fechamento superior ao saldo disponível da vítima, fazendo com que todo o saldo local fosse pago como taxas de mineração. O Eclair 0.14.3 agora rejeita propostas de taxas acima do máximo configurado.

A ACINQ também corrigiu uma segunda falha ligada ao splicing, em que fundos poderiam ficar retidos caso uma operação de splice permanecesse inacabada. Um terceiro problema envolvia o financiamento on-the-fly, no qual uma carteira maliciosa poderia manipular o momento do pagamento. O software atualizado agora verifica taxas de retransmissão e buffers de expiração antes de comprometer fundos, além de adicionar um limite padrão para taxas de abertura de canais.

A empresa afirmou que os operadores devem atualizar para evitar exploração. As informações disponíveis não incluem uma referência formal de CVE nem uma lista detalhada de versões afetadas além do lançamento do Eclair 0.14.3, e não há confirmação no material fornecido de que as falhas tenham sido exploradas em ambiente real antes da correção.

Uma pesquisa técnica independente citada no material de apoio descreve uma fragilidade relacionada do Eclair no monitoramento on-chain em condições de fechamento forçado, em que um nó poderia deixar de detectar uma pré-imagem revelada se rastreasse apenas HTLCs de seu estado de compromisso local. Esse problema aponta para um desafio mais amplo de segurança do Lightning: a segurança dos canais pode depender de como as implementações tratam estados de compromisso antigos, porém ainda válidos, atualizações de taxas e casos extremos de liquidação on-chain.

Por que isso importa

Esta correção é importante porque o Eclair é um software de infraestrutura, e falhas na camada de gerenciamento de canais podem resultar em perda direta de fundos mesmo quando o próprio Bitcoin está operando normalmente. Para usuários do Lightning e operadores de serviços, a notícia reforça que a segurança operacional depende não apenas da custódia e das chaves, mas também de atualizações oportunas do cliente e do tratamento confiável de cenários de encerramento.

Ela também se soma a um padrão mais amplo de implementações do Lightning que reforçam as defesas em torno da lógica de taxas e do comportamento de fechamento forçado de canais. À medida que mais atividades dependem de trilhos de pagamento off-chain, bugs no nível de implementação podem atrair mais atenção de operadores, provedores de carteiras e empresas de infraestrutura que dependem de um comportamento de liquidação previsível.