Las soluciones de seguridad de Bitcoin Lightning, que tienen más de un año, aún faltan en el 71% de los nodos identificados

Vulnerabilidades en nodos de Bitcoin Lightning

Casi tres cuartas partes de los nodos públicos de Bitcoin Lightning identificados como vulnerables en agosto seguían utilizando versiones de software afectadas en octubre. Un estudio realizado el 21 de octubre encontró que el 71% de un grupo de 550 nodos públicos de LND, señalados durante una divulgación de seguridad el 11 de agosto, continuaban operando con versiones de software comprometidas hasta el 13 de octubre.

Solo alrededor del 10% había actualizado durante ese período, mientras que 108 nodos ya no se clasificaban como activos. Estos hallazgos sugieren que las soluciones de seguridad están llegando a algunos operadores de Lightning mucho después de sus fechas de lanzamiento.

Retrasos en la implementación de parches

Los retrasos son particularmente sorprendentes, ya que los parches para seis vulnerabilidades cubiertas por las divulgaciones de agosto habían estado disponibles desde la versión 0.19.0 de LND, lanzada 446 días antes de la advertencia pública. LND es una de las implementaciones de software utilizadas para operar nodos en la Lightning Network de Bitcoin, que procesa pagos fuera de la capa principal de transacciones de la blockchain.

La investigación de Saurabh Kumar de Bitcoin Data Labs encontró que las olas más significativas de actualizaciones de software en la red coincidieron estrechamente con los lanzamientos de Umbrel, una plataforma que empaqueta el software de nodos de Bitcoin. Las tres olas más grandes involucraron entre 262 y 385 nodos cada una, con al menos el 87% de los nodos participantes implementando características de software actualizadas dentro de las 48 horas posteriores a un lanzamiento de Umbrel.

Sin embargo, Umbrel distribuyó esas versiones entre 19 y 41 días después de los lanzamientos correspondientes de LND, introduciendo otro posible retraso entre los desarrolladores que hacen disponibles las soluciones y los operadores que las reciben a través de sus plataformas preferidas.

Impacto de las divulgaciones de seguridad

Esta asociación sugiere que los canales de distribución de software pueden influir significativamente en la rapidez con que la infraestructura de pagos de Bitcoin adopta mejoras de seguridad. El estudio no pudo identificar qué plataformas utilizaron los nodos individuales, dejando sin resolver el papel preciso de las actualizaciones automáticas.

Las advertencias de seguridad pública parecieron ser menos efectivas para cambiar el comportamiento de los operadores.

A través de nueve divulgaciones de vulnerabilidades de LND, el investigador no encontró una aceleración estadísticamente detectable en los nodos que se alejaban de las versiones de software afectadas. Los hallazgos no descartan respuestas más pequeñas, pero muestran que las divulgaciones no fueron seguidas por oleadas claras y generalizadas de actualizaciones.

Desigualdad en la exposición a vulnerabilidades

Los retrasos también se extienden más allá de los incidentes de seguridad. Los nodos que operaban con software más antiguo cuando las versiones de LND 0.19 a 0.21 se hicieron disponibles tardaron un estimado de 88 días en migrar a las nuevas versiones. Aún así, la exposición potencial está distribuida de manera desigual en la infraestructura de pagos de Lightning.

En la divulgación de agosto, las versiones de software afectadas representaban el 14.9% de los nodos LND activos, pero solo el 6.4% de su capacidad de canal, excluyendo una flota gestionada identificada. Esa disparidad sugiere que los nodos afectados controlaban una parte relativamente menor de la liquidez de pagos.

El investigador analizó 814 instantáneas diarias del gráfico de la red pública de Lightning, utilizando características de software anunciadas para inferir versiones de lanzamiento. El método no puede identificar versiones exactas de parches, y los nodos que actualizan sin transmitir nuevos anuncios pueden seguir apareciendo como vulnerables.

La explotabilidad real también depende de la vulnerabilidad y la configuración del nodo. Kumar publicó el código del estudio y los datos agregados junto con el preprint, permitiendo un mayor escrutinio de los hallazgos.

Conclusión

La investigación deja a los desarrolladores de software de nodos y a los distribuidores de plataformas enfrentando una pregunta operativa no resuelta: ¿cómo reducir las semanas o meses entre el lanzamiento de soluciones de seguridad y su instalación en la red pública de Lightning?