Core Lightning, el software de nodo para enrutar pagos a través de la Lightning Network de Bitcoin, publicó v26.06.9 el 7 de octubre con una serie de parches de seguridad además de una solución para una regresión de enrutamiento de pagos introducida dos semanas antes en v26.06.8. La versión llega justo después de v26.06.7, que parcheó un error de penalización por canal revocado divulgado el 27 de septiembre y obligó al equipo a un breve bloqueo de emergencia. En conjunto, tres saltos de versión en aproximadamente dos semanas convierten esta en la serie de parches más concentrada que Core Lightning ha publicado en los últimos tiempos.
Por qué importa
El error principal fue un fallo de contabilidad del presupuesto de CPU: v26.06.8 comenzó a contar el gossip rutinario, los pings y los mensajes onion contra un presupuesto que debería haberse reservado para consultas de gossip. En nodos de enrutamiento ocupados, la clasificación errónea podía estrangular a los pares y retrasar el tráfico del canal. V26.06.9 retira ese presupuesto para usarlo solo en consultas de gossip, eliminando la causa documentada de la limitación. Los mantenedores también están reteniendo temporalmente las pruebas de seguridad del repositorio público para frenar el desarrollo de exploits y dar a los operadores más tiempo para actualizar antes de que el conjunto de pruebas se convierta en una guía para atacantes.
Impacto en el mercado
La corrección de protección de fondos es la línea más relevante del changelog: cuando un HTLC alcanza su fecha límite mientras un canal se está cerrando, v26.06.9 ahora fuerza el cierre del canal para que un pago cumplido tarde no pueda perder fondos reenviados. Los permisos de rune se han endurecido para que una rune restringida ya no pueda acuñar una sin restricciones ni re listar entradas vetadas, y los alias invokerune y destroyrune quedan bajo las mismas restricciones. Los valores sensibles en listconfigs, incluida la información de recuperación y las contraseñas RPC de Bitcoin, ahora están enmascarados para todos los llamantes. setconfig cierra una vía para inyectar líneas de configuración a través de valores de opción persistentes. Los operadores en master no pueden bajar a 26.06.x porque el esquema de la base de datos es más nuevo, la financiación dual sigue siendo experimental y los canales zero-conf con pares no confiables siguen desaconsejados.
Preguntas frecuentes
-
¿Qué corrige realmente Core Lightning v26.06.9?
Parchea una regresión de contabilidad del presupuesto de CPU en v26.06.8 donde el gossip rutinario, los pings y los mensajes onion se cobraban contra un presupuesto de consultas de gossip, además de un error de cierre forzoso de HTLC que arriesgaba perder fondos reenviados, los permisos de rune y varias salvaguardas…
-
¿Por qué los mantenedores retienen las pruebas de seguridad?
Los mantenedores están reteniendo temporalmente el conjunto de pruebas de seguridad del repositorio público para frenar el desarrollo de exploits y dar a los operadores más tiempo para actualizar antes de que las pruebas se conviertan en una referencia para atacantes.
-
¿Necesitan los operadores actualizar desde v26.06.8?
Sí. Los mantenedores instan a los operadores en v26.06.8 y anteriores a actualizar cuanto antes. Los nodos que ejecutan master no pueden bajar a una versión 26.06.x porque su esquema de base de datos es más nuevo.
-
¿Cómo protege la corrección del HTLC los fondos reenviados?
Cuando un HTLC alcanza su fecha límite mientras un canal se está cerrando, v26.06.9 ahora fuerza el cierre del canal en lugar de arriesgarse a que el pago reenviado se cumpla tarde y se pierdan los fondos.
-
¿Qué otras salvaguardas incluye v26.06.9?
listconfigs ahora enmascara valores sensibles, incluida la información de recuperación y las contraseñas RPC de Bitcoin, para todos los llamantes; setconfig cierra una vía de inyección de configuración a través de valores de opción persistentes; y las restricciones de rune ahora cubren los alias invokerune y…
CoinDesk
Glassnode
WatcherGuru
Altcoin Daily
WuBlockchain
TheBlock
Lookonchain