Core Lightning, una de las principales implementaciones cliente de la Lightning Network de Bitcoin, ha pedido a los operadores de nodos preparar una actualización de emergencia o desconectar sus nodos tras una ola de informes de vulnerabilidades generados por inteligencia artificial. La alerta, reportada por The Defiant, pone a los operadores en una situación incómoda: los binarios parcheados no han sido publicados y las correcciones están bajo un embargo de divulgación de dos semanas.
Se pide a los operadores actualizar o desconectar
La guía difundida en el Discord de Core Lightning y confirmada por un mantenedor dio a los administradores de nodos una elección drástica. «Si elige no actualizar, recomendamos poner su nodo –offline», decía el mensaje, añadiendo que «dados los riesgos conocidos, no daremos soporte a versiones anteriores, incluida la 26.04.». El equipo dijo que los detalles de la versión permanecerán bajo embargo durante dos semanas y que los binarios se publicarán con firmas que confirmen la reproducibilidad, mientras que la versión programada 26.09 sigue prevista para finales de septiembre.
Informes generados por IA desencadenan la respuesta
El equipo señaló por primera vez la presión el 13, de agosto, escribiendo en X que Core Lightning había «recibido una serie de informes CVE generados por IA de múltiples fuentes en los últimos 10 días» y los estaba clasificando con colaboradores externos. Esto sigue a un aumento de auditorías asistidas por IA en el stack de código abierto de Bitcoin, incluido el voluntario Bitcoin Red Team, que recientemente presentó miles de hallazgos en cientos de proyectos. Core Lightning es mantenido por Blockstream.
Una serie más amplia de alarmas de infraestructura
La advertencia cubre una red que transporta aproximadamente 3,750 BTC a través de más de 33,000 canales, según datos de mempool.space citados en el informe. Es la cuarta alerta de seguridad para la infraestructura de Bitcoin en aproximadamente cuatro semanas, tras las pérdidas de firmware de Coldcard y una advertencia de actualización de BTCPay Server, y hace eco de vulnerabilidades anteriores de la Lightning Network que empujaron a los usuarios a actualizar. Los operadores que mantengan canales abiertos en un nodo sin parchear se enfrentarían a un cierre forzoso o riesgo de fondos si se publica un exploit, mientras que los pagos enrutados a través de canales afectados podrían sufrir interrupciones de liquidez. Debido a que las correcciones bajo embargo aún no tienen descripción pública, los operadores no pueden juzgar todavía cuán grave es el riesgo real para sus fondos.
