Core Lightning-utviklere bekrefter at flere sårbarheter i Bitcoin Lightning Network-programvaren er reelle. Teamet vil publisere oppdaterte programvareversjoner med sikkerhetsfikser i løpet av få dager, men de tekniske detaljene holdes hemmelige i to uker.
Lightning flytter små Bitcoin-betalinger utenfor hovedblokkjeden gjennom kanaler mellom noder. Inntil operatører installerer løsningen, står midlene som står i disse kanalene bak kode som teamet allerede vet har feil.
Bitcoin Lightning Network-sårbarhet dukket opp etter en flom av AI-rapporter
Core Lightning (CLN) er en av hovedimplementasjonene av Lightning Network, Bitcoins betalingslag. Blockstream støtter prosjektet, og programvaren har vært i drift på Bitcoins hovednettverk siden 2018.
Den 13. august sa teamet at de hadde mottatt en bølge av AI-genererte sårbarhetsrapporter fra flere kilder de foregående ti dagene. En liten gruppe utviklere og frivillige skilte deretter reelle feil fra støy.
Flere rapporter viste seg å være reelle. Dette gjorde rutinemessig opprydding om til en koordinert sikkerhetsutgivelse, og teamet droppet sin opprinnelige plan om en rask oppdatering.
Bitcoin-infrastrukturen har blitt rammet flere ganger i år. I august advarte BTCPay Server operatører om å oppdatere etter at angripere tømte brukermidler gjennom en autentiseringsfeil. En Coldcard wallet-utnyttelse ble også avslørt noen dager tidligere.
Hva to ukers embargo betyr for Bitcoin-brukere
Å holde detaljene tilbake er poenget. Angripere som leser en offentlig feilrapport kan ofte bygge en fungerende utnyttelse i løpet av timer. Teamet lanserer derfor den oppdaterte programvaren først, og publiserer hele redegjørelsen tidlig i september.
Oppdateringene har utviklersignaturer som bekrefter reproduserbarhet, slik at andre kan sjekke at utgivelsen stemmer med kildekoden. Fiksene dekker mange av de rapporterte feilene, men ikke alle.
Vanlige Lightning-brukere har ingen innflytelse her. Deres betalinger går gjennom noder som andre driver, så tempoet for utrulling styres av disse operatørene.
Operatører som hopper over oppdateringen har et alternativ. Ved å ta en node offline kuttes koblingen til andre noder, samtidig som daemonen forblir i live. En daemon er bakgrunnsprogrammet bak en node, som overvåker blokkjeden og reagerer når en betalingskanal lukkes.
Risikoen øker ettersom Lightning når flere brukere. Nye produkter har nylig tatt det inn i selvforvaltede mobil-lommebøker og betalingsverktøy i chat-apper, som utvider gruppen som kan bli berørt ved en ruter-feil.
Blockstream-sjef Adam Back har brukt store deler av 2026 i offentlige diskusjoner om Bitcoins skaleringsretning. Stille vedlikeholdsarbeid som dette får sjelden like mye oppmerksomhet.
Noder som forblir upatchet og online medfører risikoer som utviklerne beskriver som kjente, men ikke vil forklare ennå. Embargoen oppheves tidlig i september, noe som gir operatørene god tid til å oppdatere mens detaljene fortsatt holdes skjult.
