Descubren vulnerabilidades en el software Lightning de Bitcoin

Core Lightning ha detectado varias vulnerabilidades en su software para Lightning Network de Bitcoin (BTC). Para quienes gestionan un nodo Lightning, la recomendación es clara: instalar la actualización de seguridad cuanto antes.

Lo llamativo es que los fallos salieron a la luz gracias a la inteligencia artificial. Core Lightning recibió un gran número de avisos de seguridad generados con IA. Tras analizarlos, varias de esas alertas resultaron ser fundadas.

Por ahora no hay indicios de que los atacantes hayan explotado las vulnerabilidades ni de que se hayan robado bitcoins. Aun así, Core Lightning no quiere asumir riesgos.

La IA descubre vulnerabilidades en el software de Bitcoin

Aún no se sabe con exactitud hasta qué punto son graves estos problemas. Core Lightning ha optado por no publicar todavía detalles técnicos. Tampoco se han difundido identificadores CVE, el sistema internacional con el que se registran las vulnerabilidades de seguridad.

Eso dificulta determinar qué podría hacer exactamente un atacante aprovechando estos fallos.

Lo que sí está claro es por qué Core Lightning quiere que los usuarios actualicen cuanto antes. El software se utiliza en Lightning Network, una capa adicional sobre Bitcoin que permite realizar pagos de forma rápida y barata.

En lugar de registrar cada pequeño pago directamente en la cadena de bloques de Bitcoin, los usuarios pueden abrir canales de pago entre ellos. Dentro de esos canales pueden realizarse después múltiples transacciones.

Precisamente porque por este software circula dinero real, los problemas de seguridad pueden tener consecuencias importantes.

¿No puedes actualizar? Suspende temporalmente los pagos

No todos los administradores pueden instalar una actualización de software de inmediato. Para ellos, Core Lightning ha propuesto una solución temporal.

Al reiniciar un nodo con el parámetro --offline, el tráfico de pagos queda detenido. El nodo deja entonces de poder enviar, recibir o reenviar pagos a través de Lightning Network.

Aun así, el software sigue monitorizando la cadena de bloques de Bitcoin. Y eso es importante.

Core Lightning desaconseja apagar por completo un nodo. Si, por ejemplo, alguien al otro lado de un canal de pago decide cerrarlo de forma forzosa, el nodo debe poder verlo y reaccionar.

Con el modo sin conexión, el riesgo se reduce sin dejar al nodo completamente a ciegas. Una vez instalada la actualización de seguridad, el parámetro puede retirarse y los pagos pueden reanudarse.

No son las primeras vulnerabilidades de este año

No es la primera vez este año que salen a la luz problemas de seguridad en Core Lightning. En mayo y julio se hicieron públicas otras vulnerabilidades que permitían a atacantes ejecutar de forma remota ataques de denegación de servicio.

En este tipo de ataque, alguien intenta alterar un sistema o dejarlo temporalmente inaccesible. Según Core Lightning, esos problemas anteriores ya han sido solucionados.

Las nuevas vulnerabilidades no están relacionadas con aquellas. Mientras Core Lightning no publique más detalles técnicos, seguirá sin estar claro cuál es el alcance real del riesgo.

Para los tenedores habituales de bitcoin, en cualquier caso, no hay motivo para modificar nada en sus BTC por esta alerta. El aviso está dirigido específicamente a quienes utilizan el software de Core Lightning para gestionar un nodo Lightning.