Gli sviluppatori di Core Lightning hanno confermato che diverse vulnerabilità nel software del Lightning Network di Bitcoin sono reali. Il team pubblicherà aggiornamenti software corretti entro pochi giorni, mentre i dettagli tecnici rimarranno segreti per due settimane.
Lightning sposta piccoli pagamenti in Bitcoin fuori dalla blockchain principale tramite canali tra nodi. Fino a quando gli operatori non installeranno la correzione, il denaro parcheggiato in questi canali sarà protetto da un codice che il team sa già essere difettoso.
Vulnerabilità del Lightning Network di Bitcoin emersa da una valanga di report generati da AI
Core Lightning (CLN) è una delle principali implementazioni del Lightning Network, il livello di pagamento di Bitcoin. Blockstream sostiene il progetto e il software è attivo sulla mainnet di Bitcoin dal 2018.
Il 13 agosto il team ha affermato di aver ricevuto un’ondata di segnalazioni di vulnerabilità generate da AI da più fonti nei 10 giorni precedenti. Un piccolo gruppo di sviluppatori e volontari ha poi selezionato i bug reali dal rumore di fondo.
Diverse segnalazioni sono risultate fondate. Questo risultato ha trasformato una normale attività di pulizia in un rilascio di sicurezza coordinato, portando il team ad abbandonare il piano originale di una semplice patch rapida.
L’infrastruttura di Bitcoin ha subito diversi colpi quest’anno. Ad agosto, BTCPay Server ha avvisato gli operatori di aggiornare il sistema dopo che alcuni attaccanti avevano svuotato i fondi degli utenti a causa di una falla nelle credenziali. Un exploit su Coldcard wallet era emerso pochi giorni prima.
Cosa significa l’embargo di due settimane per gli utenti di Bitcoin
Non fornire dettagli è intenzionale. Gli attaccanti che leggono un report pubblico su una vulnerabilità possono spesso sviluppare un exploit funzionante in poche ore. Pertanto, il team distribuisce prima il software corretto e pubblica il resoconto completo a inizio settembre.
Gli aggiornamenti includono firme degli sviluppatori che confermano la riproducibilità, così chiunque può verificare che il rilascio corrisponda al codice sorgente. Le correzioni coprono molte delle falle segnalate, anche se non tutte.
I normali utenti di Lightning non hanno alcuna leva in questa situazione. I loro pagamenti passano attraverso nodi gestiti da altri, quindi il ritmo del rollout dipende dagli operatori di questi nodi.
Gli operatori che non effettuano l’aggiornamento hanno comunque un’alternativa. Mettere offline un nodo interrompe i collegamenti con gli altri nodi, ma lascia attivo il daemon. Un daemon è il programma in background dietro un nodo, che monitora la blockchain e reagisce quando un canale di pagamento viene chiuso.
La posta in gioco aumenta man mano che Lightning raggiunge più persone. Prodotti recenti l’hanno portato su wallet mobile self-custodial e strumenti di pagamento integrati nelle chat app, espandendo il gruppo potenzialmente esposto a un errore nel routing.
Adam Back, amministratore delegato di Blockstream, ha trascorso gran parte del 2026 in scontri pubblici sulla direzione dello scaling di Bitcoin. Il lavoro di manutenzione silenziosa come questo attira raramente la stessa attenzione.
I nodi lasciati online senza patch presentano rischi che gli sviluppatori definiscono noti, ma che al momento non spiegano in dettaglio. L’embargo terminerà a inizio settembre, concedendo agli operatori il tempo di aggiornare mentre i dettagli restano nascosti.
