未修補的比特幣閃電節點面臨通道耗盡漏洞

Core Lightning，運行比特幣閃電支付節點的軟體，呼籲用戶安裝 v26.06.10 以解決通道安全性、支付解決方案和遠端訪問的缺陷。

維護者還建議檢查用於遠端命令的憑證，將訪問限制作為與軟體升級並行的單獨任務。

發布通知建議儘快升級。維護者暫時停止了安全修復測試，以減緩補丁轉換為有效利用的速度，並給予操作員更多的升級時間。

根據標記的變更日誌，新版本在比特幣雙資助通道開啟和拼接過程中增加了對對等方交易簽名的檢查，符合閃電協議的 BOLT 2 規範。

一個剛被移除的條件比特幣支付合約，稱為 HTLC，可能會與一個仍在運行的合約混淆，因為它共享相同的支付哈希、金額和到期時間。即使其對等方仍然可以索賠，該節點也可能會在上游失敗。

另一個修復在對等方提出超過 5,000 聯邦幣的灰塵限制時拒絕通道開啟。變更日誌指出，之前的行為讓對等方在強制關閉過程中將節點的餘額削減為手續費。當雙資助開啟時，當對等方的灰塵限制超過通道儲備時也會被拒絕。

雙資助仍然是實驗性質，維護者不建議與不受信任的對等方使用零確認通道。該版本還拒絕 v2 零確認開啟，除非操作員已配置接受該對等方的請求。

運行主版本的節點無法降級到 26.06.x 系列，因為其數據庫架構較新。

GitHub 顯示 v26.06.10 的發布日期為 11 月 4 日，而其標記的變更日誌則將同一版本的日期標記為 11 月 5 日。該版本是在 v26.06.9 安全修復之後發布的，並且在 11 月 2 日發生了單獨的存儲觸發崩潰。

Core Lightning：修補節點，檢查遠端訪問

版本 26.06.10 增加了軟體檢查。維護者還建議操作員綁定並檢查發出的命令憑證。

安裝 v26.06.10 並檢查命令符文：將其綁定到預期的節點，並替換無法解釋的憑證。

• Core Lightning 維護者強烈建議所有用戶儘快升級到 v26.06.10；該版本包含安全修復並立即可用。Core Lightning v26.06.10 發布和符文指導
• 版本 26.06.10 在雙資助通道開啟和拼接過程中增加了對對等方 tx_signatures 的驗證，符合 BOLT 2。標記的 v26.06.10 變更日誌：通道和遠端命令修復 Core Lightning v26.06.10 發布和符文指導
• 新版本防止使用重複或標點變體參數名稱繞過 pname 符文限制，修復了因命令 ID 重用而導致的命令崩潰，並拒絕超大符文，而不是花費二次時間解碼它們。標記的 v26.06.10 變更日誌：通道和遠端命令修復
• 命令通過直接連接的對等方發送請求以執行命令；對等方通常需要一個授權該命令的符文。官方命令介面參考
• 維護者建議將通過命令使用的符文綁定到授權應用的節點 ID，使用 blacklistrune 將無法解釋的符文列入黑名單，並用更嚴格的憑證替換它們。Core Lightning v26.06.10 發布和符文指導
• 雙資助仍然是實驗性質；該版本不建議與不受信任的對等方使用零確認通道，並拒絕 v2 零確認開啟，除非配置接受來自該對等方的請求。Core Lightning v26.06.10 發布和符文指導 標記的 v26.06.10 變更日誌：通道和遠端命令修復

選定修復和維護者實踐的示意圖。它並不確定每個憑證是否適當限制或是否發生了利用。

方法：兩個文檔化軟體表面的示意圖，帶有可選的通道檢查和遠端命令詳細信息。箭頭顯示請求和維護步驟，而不是比特幣轉移、測量流量或實時訪問測試。

檢查比特幣憑證的遠端命令

Core Lightning 的命令介面允許直接連接的對等方請求節點執行命令。對等方通常需要一個符文，這是一個授權該命令的憑證。

該更新關閉了一種使用重複或標點變體名稱繞過符文限制的方法。它還修復了因重用命令 ID 而在命令失敗後觸發的命令崩潰，並拒絕之前消耗過多解碼工作的超大符文。

維護者建議將通過命令使用的符文綁定到應用的節點 ID，通過 id 限制進行綁定。他們還建議操作員使用 blacklistrune 將無法解釋的符文列入黑名單，然後發佈更嚴格的替代品。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。