התראת אבטחה ברשת הבזק: מפתחי Core Lightning מזהירים ממספר פרצות ומכינים עדכון חירום

מתחזקי Core Lightning, אחד המימושים המרכזיים של רשת הבזק (Lightning Network) של ביטקוין, אישרו כי התגלו בתוכנה כמה חולשות אבטחה, וכי עדכון מתקן נמצא בהכנה. ההודעה מופנית בראש ובראשונה למפעילי צמתים — אותם גורמים, פרטיים ומסחריים, שמריצים את התוכנה על שרת משלהם ומחזיקים בה כספים.

מה בדיוק אמרו המפתחים

לפי דיווח Cointelegraph, ההנחיה כוללת שני מסלולים: להתקין את העדכון מיד עם צאתו, ולמי שאינו מתקין אותו — להעביר את הצומת ל"מצב לא־מקוון" (offline mode), כלומר להשאיר את התוכנה פועלת אך מנותקת מחיבורים חיצוניים. אתר Bitcoin.com News מדווח מצדו כי המתחזקים פרסמו את ההודעה ביום רביעי, וכי דוחות ה-CVE שחשפו את הליקויים הופקו בסיוע כלים מבוססי בינה מלאכותית.

הבחנה אחת חשובה: בקהילות המקוונות של ביטקוין הופצה קריאה חריפה יותר — לכבות צמתים לחלוטין ומיד. הניסוח הזה אינו זהה למה שדווח מפי המתחזקים עצמם. ההנחיה המדווחת מדברת על ניתוק ולא על כיבוי, ובין השניים יש הבדל מעשי: צומת שממשיך לפעול אך אינו מקבל חיבורים נשאר מסוגל לנטר את הבלוקצ'יין ולהגיב אם צד אחר בערוץ ינסה לסגור אותו שלא כדין. פרסומים ברשתות החברתיות אינם תחליף להודעה הרשמית, ומי שמפעיל צומת מוטב שיפעל לפי הפרסום של הפרויקט עצמו.

למה זה נוגע דווקא למפעילי צמתים

רשת הבזק היא שכבה שנבנתה מעל הביטקוין כדי לאפשר תשלומים קטנים, מהירים וזולים, בלי לרשום כל תשלום ותשלום בבלוקצ'יין. שני צדדים פותחים ביניהם "ערוץ" — עסקה אחת שנרשמת בשרשרת ונועלת בה סכום — ואז מעבירים ביניהם תשלומים בלתי מוגבלים כמעט, עד שהערוץ נסגר ויתרתו נרשמת חזרה בבלוקצ'יין. Core Lightning, המפותח על ידי חברת בלוקסטרים, הוא אחד מכמה מימושים עצמאיים של הפרוטוקול הזה; העובדה שקיימים כמה מימושים מקבילים היא בדיוק מה שמונע מפרצה במימוש אחד להשבית את הרשת כולה.

ההיגיון מאחורי הנחיית הניתוק נובע מאופיו של הפרוטוקול: צומת בזק, מעצם הגדרתו, מקבל חיבורים והודעות מצמתים אחרים שאינו מכיר ואינו סומך עליהם. כאשר מתגלה חולשה בקוד שמטפל בהודעות האלה, ניתוק החיבורים החיצוניים הוא הדרך המהירה לסגור את דרך הגישה של תוקף פוטנציאלי, גם לפני שקיים תיקון להתקנה.

מה עדיין לא ידוע — ומה נכון לעשות עכשיו

הפרטים הטכניים של הפרצות לא פורסמו, וזו אינה השמטה אלא נוהג מקובל: בעולם התוכנה נהוג לעכב את פרסום המנגנון המדויק עד שהתיקון מופץ ורוב המשתמשים הספיקו להתקין אותו, כדי לא לספק לתוקפים מפת דרכים. גם המקורות שלפנינו אינם מציינים אילו גרסאות מושפעות, אם נוצל אי־פעם ליקוי כזה בפועל, או מתי בדיוק ייצא העדכון. עד שהמידע הזה יתפרסם, אין דרך להעריך את היקף החשיפה.

הצעד המעשי היחיד שנגזר ישירות ממה שדווח הוא צר ומדויק: מי שמפעיל צומת Core Lightning צריך לעקוב אחר ערוצי ההודעות הרשמיים של הפרויקט, להתקין את העדכון ברגע שיפורסם, ועד אז לשקול העברת הצומת למצב מנותק. מי שאינו מפעיל צומת בעצמו — כלומר, הרוב המכריע של המשתמשים שמחזיקים ביטקוין בארנק רגיל או בבורסה — אינו נדרש לשום פעולה בעקבות ההודעה הזו.

מקורות: Cointelegraph · Bitcoin.com News

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.