Core Lightning ontdekt nieuwe beveiligingslekken

Voor gewone Bitcoin-beleggers is er geen directe reden tot zorgen. De kwetsbaarheden zitten in Core Lightning-software en niet in het Bitcoin-netwerk zelf. Tot nu toe zijn er ook geen gevallen bekend waarbij aanvallers de lekken hebben misbruikt of bitcoin hebben buitgemaakt.

Core Lightning bevestigt meerdere kwetsbaarheden

Core Lightning onderzocht de afgelopen periode een groot aantal meldingen over mogelijke beveiligingsproblemen. Een opvallend deel daarvan kwam voort uit AI-gegenereerde CVE-rapporten. Na onderzoek concludeerden de ontwikkelaars dat verschillende meldingen daadwerkelijk op kwetsbaarheden wijzen.

Een CVE, voluit Common Vulnerabilities and Exposures, is een standaard waarmee bekende beveiligingsproblemen in software worden geregistreerd. Zo kunnen ontwikkelaars en gebruikers snel herkennen om welk probleem het gaat en welke softwareversies mogelijk risico lopen.

Core Lightning heeft nog geen CVE-nummers of uitgebreide technische informatie over de nieuwe kwetsbaarheden gepubliceerd. Ook over de ernst van de problemen is nog weinig bekend.

Beveiligingsupdate krijgt hoogste prioriteit

Core Lightning adviseert nodebeheerders om de nieuwe beveiligingsupdate te installeren zodra deze beschikbaar is. Dat is volgens het project de beste manier om de risico’s weg te nemen.

Wie niet direct kan upgraden, kan Core Lightning tijdelijk starten met de instelling --offline. De node blijft dan actief, maar stopt met het versturen, ontvangen en doorsturen van Lightning-betalingen.

Die oplossing is vooral bedoeld als tijdelijke veiligheidsmaatregel. Zodra een beheerder de update heeft geïnstalleerd, moet de offline-instelling weer verdwijnen. Anders blijft de node afgesloten van het Lightning Network.

Waarom blijft de node wel actief?

Het volledig uitschakelen van een Lightning-node is niet altijd de veiligste keuze. Dat heeft te maken met de manier waarop het Lightning Network werkt.

Lightning is een extra netwerklaag bovenop Bitcoin waarmee gebruikers sneller en goedkoper betalingen kunnen uitvoeren. Twee partijen kunnen daarvoor een betaalkanaal openen en meerdere transacties uitvoeren zonder iedere betaling direct op de Bitcoin-blockchain te verwerken.

Een partij kan zo’n kanaal ook eenzijdig sluiten. Dit heet een force-close. Een actieve node kan de Bitcoin-blockchain blijven volgen en reageren wanneer dat gebeurt.

Door --offline te gebruiken, blijft Core Lightning de blockchain controleren zonder actief deel te nemen aan het Lightning-verkeer. Volgens de ontwikkelaars biedt dat meer bescherming dan de software volledig uitschakelen.

Nog geen misbruik of verlies van bitcoin gemeld

Core Lightning heeft geen aanwijzingen gedeeld dat aanvallers de nieuwe kwetsbaarheden al hebben misbruikt. Er zijn ook geen financiële verliezen gemeld die met de beveiligingslekken verband houden.

Het team houdt technische details voorlopig achter. Daardoor is nog niet duidelijk welke onderdelen van Core Lightning kwetsbaar zijn en onder welke omstandigheden een aanval mogelijk zou zijn.

De nieuwe problemen staan los van kwetsbaarheden die eerder dit jaar naar buiten kwamen. In mei en juli repareerde Core Lightning al verschillende problemen die aanvallers konden gebruiken voor denial-of-service-aanvallen.

Bij een denial-of-service-aanval probeert een aanvaller software tijdelijk onbruikbaar te maken, bijvoorbeeld door het systeem met grote hoeveelheden verkeer of dataverzoeken te belasten. Die eerdere kwetsbaarheden zijn inmiddels opgelost.

Wat betekent dit voor Bitcoin-beleggers?

De Core Lightning beveiligingslekken vormen op basis van de huidige informatie geen probleem voor Bitcoin zelf. Het gaat om kwetsbaarheden binnen één specifieke implementatie van het Lightning Network.

Voor beleggers die alleen bitcoin kopen, bewaren of verkopen, verandert daarom niets. De waarschuwing is vooral relevant voor particulieren, bedrijven en technische dienstverleners die zelf een Core Lightning-node beheren.

De situatie onderstreept wel het belang van software-updates binnen het crypto-ecosysteem. Lightning-nodes beheren echte bitcoin en staan continu in verbinding met andere deelnemers. Beheerders moeten beveiligingsupdates daarom serieus nemen, ook wanneer nog geen misbruik bekend is.

Conclusie

Core Lightning heeft meerdere nieuwe kwetsbaarheden bevestigd en werkt aan een beveiligingsupdate. Over de precieze ernst van de problemen is nog weinig bekend. Tot nu toe zijn geen aanvallen of verliezen van bitcoin gemeld.

Nodebeheerders krijgen het advies om de update zo snel mogelijk te installeren. Wie nog niet kan upgraden, kan de node tijdelijk offline zetten voor Lightning-verkeer terwijl de software de Bitcoin-blockchain blijft volgen.

Veelgestelde vragen

Zijn de beveiligingslekken gevaarlijk voor Bitcoin?

Er zijn geen aanwijzingen dat Bitcoin zelf gevaar loopt. De kwetsbaarheden zitten in Core Lightning, software die wordt gebruikt om een Lightning-node te draaien. Het Bitcoin-protocol zelf wordt niet getroffen.

Wat is Core Lightning?

Core Lightning is open-source software voor het Bitcoin Lightning Network. Gebruikers kunnen ermee een eigen Lightning-node beheren en betalingen ontvangen, versturen en doorsturen.

Moet ik actie ondernemen als ik alleen bitcoin bezit?

Nee. Wie alleen bitcoin bezit of verhandelt, hoeft vanwege deze kwetsbaarheden niets te veranderen. De waarschuwing richt zich specifiek op gebruikers en organisaties die Core Lightning-software draaien.