Core Lightning de Bitcoin demande aux nœuds d'attendre le correctif, pas de s'arrêter
- Core Lightning a confirmé mercredi que les rapports de vulnérabilité générés par l'IA décrivent de véritables failles dans son logiciel de paiements Bitcoin.
- Le projet a demandé aux opérateurs de nœuds de mettre à niveau et de vérifier la version une fois publiée, et d'exécuter le nœud avec `–offline` plutôt que de l'arrêter.
- Les détails restent confidentiels pendant au moins deux semaines ; le nombre, la gravité et toute exploitation potentielle demeurent non divulgués.
Le projet Core Lightning de Bitcoin a informé les opérateurs de nœuds mercredi que les vulnérabilités mises en évidence dans les rapports de sécurité générés par l'IA étaient réelles. Il leur a conseillé d'installer un correctif qui serait bientôt disponible.
Les détails techniques sont gardés secrets pendant au moins deux semaines.
Le drapeau –offline maintient un nœud en veille pour les fermetures forcées
Selon les publications de l'équipe sur X, la bonne démarche est d'attendre la sortie, de vérifier ses signatures et de l'installer « promptement plutôt que plus tard ».
Les opérateurs qui ne peuvent pas effectuer la mise à niveau sont encouragés à maintenir leurs nœuds en fonctionnement avec le drapeau `–offline` au lieu de les arrêter.
Le drapeau hors ligne exclut les connexions entre pairs, donc rien n'est routé vers, depuis ou à travers le nœud. Le logiciel continuera de s'exécuter et d'observer la blockchain.
Un nœud Lightning doit surveiller les contreparties qui tentent de fermer un canal de force. Un nœud éteint ne peut pas répondre, c'est pourquoi le projet a qualifié l'arrêt de pire choix.
Core Lightning a été intentionnellement vague sur les spécificités.
L'équipe a déclaré sur son serveur Discord qu'une « petite équipe et des contributeurs externes » ont passé 10 jours à travailler sur des rapports de vulnérabilité générés par l'IA provenant de plusieurs sources, dans le cadre d'un examen s'étalant sur plusieurs semaines.
Les détails sont gardés secrets pendant au moins deux semaines pour donner aux développeurs le temps de présenter les correctifs et aux opérateurs la possibilité de patcher avant que toute vulnérabilité ne soit rendue publique.
Pour être clair sur ce que nous recommandons : vous n'avez pas besoin d'arrêter votre nœud.
Notre conseil est de mettre à niveau. Lorsque la version sera disponible, vérifiez les signatures et installez-la, et faites-le promptement plutôt que plus tard.
–offline est l'alternative pour quiconque ne va pas… https://t.co/rjq8Haz4pE
— Core Lightning ⚡️ (@Core_LN) Août 27, 2026
Deux publications du 26 août ont donné des instructions opposées
Le 26 août, le développeur Bitcoin calle a publié une alerte rouge, indiquant que les développeurs de Blockstream instruisaient les utilisateurs d'arrêter immédiatement leurs nœuds Core Lightning.
Core Lightning a ensuite décidé de clarifier la situation. « Pour être clair sur ce que nous recommandons : vous n'avez pas besoin d'arrêter votre nœud », a écrit le projet sur X mercredi, réitérant que le conseil est de mettre à niveau et, à défaut, d'utiliser `–offline`.
La clarification a obtenu 29 partages et 61 likes.
Lorsque BTCPay Server a publié un correctif d'urgence début août après que des attaquants ont exploité une faille pour voler les identifiants macaroon LND, le projet a noté que l'intelligence artificielle peut être une arme à double tranchant, comme l'a rapporté Cryptopolitan.
Cela facilite la tâche des défenseurs pour trouver des bugs et rend moins cher pour les attaquants de prélever de grands ensembles de code open source.
Le réseau Bitcoin fonctionne, mais les logiciels construits dessus peuvent contenir des bugs. Le logiciel peut être des portefeuilles, des processeurs de paiement ou des outils Lightning.
Lorsque le correctif sera publié, les opérateurs de nœuds devront vérifier les signatures avant l'installation.
Jusque-là, le nombre de vulnérabilités, leur gravité et toute preuve d'exploitation sont inconnus.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Que Core Lightning a-t-il demandé aux opérateurs de nœuds de faire ?
Mettre à niveau vers la prochaine version et vérifier ses signatures dès sa publication. Si cela n'est pas possible, exécuter le nœud avec le drapeau `--offline` au lieu de l'arrêter.
Les opérateurs doivent-ils arrêter un nœud Core Lightning ?
Non. Core Lightning a explicitement indiqué qu'il n'est pas nécessaire d'arrêter le nœud, car un nœud éteint ne peut ni surveiller la chaîne ni réagir si une contrepartie ferme un canal de force.
Comment ces vulnérabilités ont-elles été découvertes ?
Elles proviennent d'une vague de rapports CVE générés par l'IA ; l'équipe réduite de Core Lightning et des contributeurs externes ont passé 10 jours à examiner les soumissions provenant de multiples sources et ont confirmé que plusieurs décrivaient de véritables failles.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
