El equipo de Core Lightning ha advertido de ataques contra nodos de la red Lightning de Bitcoin que funcionan con versiones antiguas del software. La recomendación para los operadores es actualizar con urgencia, especialmente si utilizan la versión 26.06.7 o cualquiera anterior.
Core Lightning es una implementación de código abierto que permite operar un nodo propio en Lightning, la red construida sobre Bitcoin (BTC) para facilitar pagos más rápidos y baratos. El equipo responsable no ha detallado por ahora qué vulnerabilidades están aprovechando los atacantes ni qué efectos concretos puede tener un ataque exitoso contra un nodo desactualizado.
El equipo mantiene en reserva los detalles técnicos
La ausencia de información técnica parece responder a una decisión deliberada. Core Lightning ha optado por no publicar determinadas pruebas de seguridad para evitar que los atacantes comparen las versiones antiguas y las nuevas y localicen con facilidad los fallos corregidos.
La estrategia busca dar más margen a los administradores para actualizar sus nodos antes de que se conozcan públicamente los detalles de las vulnerabilidades. El aviso, no obstante, es explícito: los usuarios de Core Lightning 26.06.7 o anteriores deben instalar la última versión disponible lo antes posible.
La alerta se produce después de que el proyecto informara, el 16 de septiembre, de que estaba investigando un posible problema en funciones experimentales que podía afectar a los fondos de los usuarios. Seis días más tarde se publicó la versión 26.06.8, que incorporó varias correcciones de errores y problemas de seguridad.
Fallos que podían bloquear nodos y afectar a canales
Entre los problemas corregidos había una vulnerabilidad capaz de bloquear los nodos de los usuarios que enviaban pagos. Otro fallo podía provocar un consumo muy elevado de memoria y agotar los recursos disponibles para la interfaz REST.
La actualización también abordó un problema relacionado con el cierre de canales de Lightning. Estos canales permiten realizar varios pagos en Bitcoin sin registrar cada operación individualmente en la cadena de bloques. En determinadas circunstancias, un error durante el cierre podía activar un mecanismo automático de penalización y llegar a provocar la pérdida de fondos.
Core Lightning no ha confirmado que todos estos fallos estén directamente vinculados con los ataques que motivan el aviso actual. Tampoco ha precisado el alcance de la actividad detectada ni el número de nodos afectados. La información disponible se limita a la existencia de ataques contra instalaciones antiguas y a la necesidad de aplicar la actualización.
La situación pone de relieve la importancia de mantener actualizados los nodos que participan en Lightning, especialmente cuando gestionan canales y fondos. Por ahora, el proyecto mantiene parte de la información bajo reserva para dificultar nuevas explotaciones y permitir que los operadores completen la migración a una versión más reciente.
