Bitcoin : les utilisateurs alertés sur des attaques en cours contre les nœuds Lightning

Les utilisateurs de Core Lightning sont invités à mettre à jour leur logiciel sans attendre. Selon l’équipe de développement, des attaques sont en cours contre des nœuds du Lightning Network de Bitcoin utilisant des versions obsolètes. Les utilisateurs de la version 26.06.7 ou d’une version antérieure sont particulièrement exposés.

L’équipe de Core Lightning a lancé un avertissement : une mise à jour de sécurité urgente est nécessaire pour les utilisateurs de la version 26.06.7 ou d’une version antérieure, qui doivent installer la dernière version au plus vite.

Core Lightning est un logiciel libre qui permet aux utilisateurs d’exploiter leur propre nœud sur le Lightning Network. Ce réseau, construit sur Bitcoin (BTC), permet d’effectuer des paiements plus rapides et moins coûteux.

Core Lightning reste discret sur les attaques

Core Lightning ne précise pas, pour l’heure, quelles vulnérabilités sont exploitées. Les conséquences d’une attaque réussie contre un nœud utilisant une version obsolète restent également inconnues.

Cette discrétion semble délibérée. En gardant provisoirement les détails techniques confidentiels, l’équipe complique la tâche d’autres attaquants qui chercheraient à identifier et à exploiter ces failles. Les administrateurs disposent ainsi de davantage de temps pour mettre à jour leur logiciel.

Cet avertissement fait suite à de précédents problèmes de sécurité. Le 16 septembre, Core Lightning avait annoncé enquêter sur un éventuel problème lié à des fonctionnalités expérimentales, susceptible d’affecter les fonds des utilisateurs.

Six jours plus tard, la version 26.06.8 a été publiée. Les utilisateurs de la version 26.06.7 et des versions antérieures sont désormais instamment invités à passer à une version plus récente.

Des failles de sécurité pouvaient bloquer les nœuds

La version 26.06.8 corrige plusieurs anomalies et problèmes de sécurité. Une vulnérabilité pouvait notamment bloquer les nœuds des utilisateurs émettant des paiements. Un autre problème permettait de provoquer une consommation de mémoire excessive, jusqu’à épuiser les ressources de l’interface REST.

Une vulnérabilité liée à la fermeture d’un canal Lightning a également été corrigée. Ces canaux permettent aux utilisateurs d’effectuer plusieurs paiements en bitcoins sans enregistrer chaque transaction séparément sur la blockchain.

Dans certaines circonstances, une erreur lors de la fermeture d’un tel canal pouvait même entraîner une perte de fonds par le déclenchement d’un mécanisme de pénalité automatique.

Core Lightning a délibérément choisi de ne pas rendre publics certains tests de sécurité pour le moment. Des attaquants pourraient sinon comparer les anciennes et les nouvelles versions du logiciel pour repérer les vulnérabilités corrigées.

L’équipe préfère donc laisser d’abord aux administrateurs le temps de mettre à jour leurs nœuds. Le message est désormais clair : les utilisateurs de Core Lightning 26.06.7 ou d’une version antérieure doivent installer la dernière version sans attendre.