Kwetsbaarheden ontdekt in Bitcoin Lightning-software

Core Lightning heeft meerdere kwetsbaarheden ontdekt in zijn software voor het Lightning Network van Bitcoin (BTC). Voor mensen die zo’n Lightning-node beheren, is het advies duidelijk: installeer de beveiligingsupdate zo snel mogelijk.

Opvallend genoeg kwamen de problemen aan het licht dankzij kunstmatige intelligentie. Core Lightning kreeg een groot aantal met AI gemaakte beveiligingsmeldingen binnen. Na onderzoek bleken meerdere waarschuwingen daadwerkelijk te kloppen.

Er zijn vooralsnog geen aanwijzingen dat hackers de kwetsbaarheden hebben misbruikt of dat er Bitcoin is gestolen. Toch neemt Core Lightning geen risico.

AI ontdekt kwetsbaarheden in Bitcoin-software

Hoe gevaarlijk de problemen precies zijn, weten we nog niet. Core Lightning heeft bewust nog geen technische details naar buiten gebracht. Ook zijn er nog geen CVE-nummers gepubliceerd, waarmee beveiligingsproblemen internationaal worden geregistreerd.

Dat maakt het lastig om te zeggen wat een aanvaller precies met de kwetsbaarheden zou kunnen doen.

Wel is duidelijk waarom Core Lightning gebruikers snel wil laten upgraden. De software wordt gebruikt voor het Lightning Network, een extra laag bovenop Bitcoin waarmee gebruikers snel en goedkoop betalingen kunnen uitvoeren.

In plaats van iedere kleine betaling direct op de Bitcoin-blockchain te zetten, kunnen gebruikers onderling betalingskanalen openen. Daarbinnen kunnen vervolgens meerdere transacties plaatsvinden.

Juist omdat er daadwerkelijk geld door deze software stroomt, kunnen beveiligingsproblemen grote gevolgen hebben.

Kun je niet updaten? Zet betalingen tijdelijk stil

Niet iedere beheerder kan een software-update direct installeren. Voor die groep heeft Core Lightning daarom een tijdelijke oplossing.

Door een node opnieuw op te starten met de instelling --offline wordt het betalingsverkeer stilgelegd. De node kan dan geen betalingen meer versturen, ontvangen of doorsturen via het Lightning Network.

Toch blijft de software ondertussen de Bitcoin-blockchain volgen. En dat is belangrijk.

Core Lightning raadt namelijk af om een node helemaal uit te zetten. Als bijvoorbeeld iemand aan de andere kant van een betalingskanaal besluit dat kanaal geforceerd te sluiten, moet de node dat kunnen zien en daarop kunnen reageren.

Met de offline-modus wordt het risico dus beperkt zonder de node volledig blind te maken. Zodra de beveiligingsupdate is geïnstalleerd, kan de instelling weer worden verwijderd en kunnen betalingen worden hervat.

Niet de eerste kwetsbaarheden dit jaar

Het is niet de eerste keer dit jaar dat beveiligingsproblemen bij Core Lightning aan het licht komen. In mei en juli werden andere kwetsbaarheden bekendgemaakt waarmee aanvallers op afstand zogenoemde denial-of-service-aanvallen konden uitvoeren.

Bij zo’n aanval probeert iemand een systeem te ontregelen of tijdelijk onbereikbaar te maken. Die eerdere problemen zijn volgens Core Lightning inmiddels opgelost.

De nieuwe kwetsbaarheden staan daar los van. Zolang Core Lightning geen verdere technische details publiceert, blijft onduidelijk hoe groot het gevaar precies is.

Voor gewone Bitcoin-bezitters is er overigens geen reden om vanwege deze melding zelf iets aan hun BTC te veranderen. De waarschuwing is specifiek bedoeld voor mensen die Core Lightning-software gebruiken om een Lightning-node te beheren.