ایکلر باگ‌های خطر سرقت از شبکه لایتنینگ را رفع کرد

تیم ACINQ، توسعه‌دهنده نرم‌افزار گره (node) Eclair Lightning، هفته گذشته را صرف رفع حفره‌های امنیتی کرده است. توسعه‌دهندگان اعلام کرده‌اند که اشکالات موجود در نسخه v0.14.4 Eclair می‌توانست به همتایان (peers) اجازه سرقت وجوه یا اختلال در پرداخت‌ها را بدهد.

این شرکت در عرض پنج روز دو نسخه جدید منتشر کرده است. پیام برای اپراتورهای گره ساده است: اکنون به‌روزرسانی کنید.

رفع آسیب‌پذیری جعل درخواست بین مبدأ (Cross-Origin Request Forgery)

اولین نسخه، Eclair v0.14.4، در تاریخ ۱۵ اکتبر ۲۰۲۶ منتشر شد. اصلاحیه اصلی آن، آسیب‌پذیری جعل درخواست بین مبدأ در API گره را هدف قرار داده است.

مرورگرهای وب اغلب اطلاعات ورود کاربر را به خاطر می‌سپارند تا کاربران مجبور نباشند آن‌ها را مدام دوباره وارد کنند. در مورد Eclair، API به احراز هویت پایه HTTP (HTTP Basic authentication) متکی بود و این اطلاعات می‌توانست در مرورگر ذخیره شود.

این حافظه پنهان (cache) یک نقطه ضعف ایجاد کرد. یک وب‌سایت مخرب می‌توانست از طریق مرورگر خود اپراتور، با استفاده از اطلاعات ذخیره‌شده، به آرامی دستوراتی را به گره ارسال کند.

طبق جزئیات انتشار، خسارات احتمالی صرفاً ظاهری نبود. درخواست‌های جعلی می‌توانستند اقدامات مدیریتی کانال و پرداخت‌های غیرمجاز را بدون نظارت مستقیم اپراتور فعال کنند.

اصلاحیه ACINQ صریح اما مؤثر است. Eclair v0.14.4 اکنون درخواست‌های API را که دارای هدر “Origin” هستند، رد می‌کند.

مرورگرها هنگام ارسال یک صفحه وب به سایت دیگر، این هدر را اضافه می‌کنند. ابزارهای خط فرمان معمولاً این کار را انجام نمی‌دهند.

نتیجه یک تفکیک واضح است. اپراتورهایی که گره‌های خود را از طریق ترمینال مدیریت می‌کنند، مانند قبل به کار خود ادامه می‌دهند، در حالی که دسترسی مستقیم مرورگر به API مسدود شده است.

این انتخاب برای کسانی که از داشبوردهای مبتنی بر مرورگر استفاده می‌کنند، هزینه‌ای دارد. این رابط‌های کاربری اکنون به یک بک‌اند سفارشی نیاز دارند که در میانه قرار گرفته و درخواست‌ها را به جای ارتباط مستقیم با گره، به آن ارسال کند.

این نسخه همچنین اصلاحات قبلی را در بر می‌گیرد. این اصلاحات به مسائل مربوط به هزینه تأمین مالی (funding-fee) و امضاکننده (signer) می‌پردازند و تاریخ ادغام تغییرات قبلی تا ۱۵ سپتامبر ۲۰۲۶ است.

رفع اشکالات مرتبط با رفتار همتا

ACINQ کار خود را تمام نکرده بود. در تاریخ ۲۰ اکتبر ۲۰۲۶، این تیم نسخه Eclair v0.14.5 را منتشر کرد که اشکالات امنیتی اضافی مرتبط با رفتار همتا را برطرف می‌کرد.

در شبکه لایتنینگ (Lightning)، همتا (peer) گره دیگری است که شما با آن کانال پرداخت دارید و پروتکل به گونه‌ای طراحی شده است که همتایان بتوانند بدون اعتماد کامل به یکدیگر تراکنش انجام دهند. توسعه‌دهندگان می‌گویند این اشکالات می‌توانست به همتایان اجازه سرقت وجوه یا اختلال در پرداخت‌ها را بدهد.

هیچ‌گونه از دست رفتن وجوه تأیید شده‌ای از آسیب‌پذیری‌های رفع شده در نسخه‌های اخیر گزارش نشده است.

شبکه لایتنینگ یک لایه پرداخت است که بر روی بیت‌کوین ساخته شده است. هدف آن عملی کردن تراکنش‌های کوچک و سریع بیت‌کوین با انتقال بیشتر فعالیت‌ها از زنجیره اصلی به کانال‌های پرداخت بین گره‌ها است.

از آنجایی که گره‌های لایتنینگ وجوه زنده را در کانال‌ها نگهداری می‌کنند، اساساً کیف پول‌های داغی هستند که تمام روز با غریبه‌ها صحبت می‌کنند. هرگونه اشکال در نحوه احراز هویت دستورات یا مدیریت پیام‌های همتا، یک خط مستقیم به سمت پول است.

ذینفعان فوری، اپراتورهای گره Eclair هستند و لیست کارهای آن‌ها کوتاه است. هر کسی که هنوز از نسخه قدیمی استفاده می‌کند، باید به v0.14.5 ارتقا یابد که شامل آخرین اصلاحات مربوط به همتا در کنار تقویت API در v0.14.4 است.

اپراتورهایی که پنل‌های کنترل مبتنی بر مرورگر ساخته‌اند، با کار بیشتری روبرو هستند. آن‌ها نیاز به راه‌اندازی یک واسطه بک‌اند خواهند داشت، زیرا Eclair دیگر تماس‌های API را که از مرورگر منشأ می‌گیرند، مستقیماً نمی‌پذیرد.

یافته‌های تحقیقاتی، این واکنش را پیشگیرانه توصیف می‌کنند و استدلال می‌کنند که امنیت سخت‌گیرانه‌تر API و اصلاحات سریع می‌تواند به پذیرش ادغام‌های لایتنینگ در طول زمان کمک کند.