Le correzioni di sicurezza di Bitcoin Lightning, risalenti a un anno fa, mancano ancora nel 71% dei nodi segnalati

Introduzione

Quasi tre quarti dei nodi pubblici di Bitcoin Lightning identificati come esposti ad agosto sono rimasti su versioni di software vulnerabili fino a ottobre. Uno studio del 21 ottobre ha rivelato che il 71% di un gruppo di 550 nodi pubblici LND segnalati durante una divulgazione di sicurezza dell'11 agosto stava ancora operando su versioni di software affette al 13 ottobre.

Risultati dello Studio

Solo circa il 10% aveva effettuato l'aggiornamento durante quel periodo, mentre 108 nodi non erano più classificati come attivi. I risultati suggeriscono che le correzioni di sicurezza stanno raggiungendo alcuni operatori Lightning ben dopo le loro date di rilascio.

I ritardi sono particolarmente evidenti poiché le patch per sei vulnerabilità coperte dalle divulgazioni di agosto erano disponibili dalla versione LND 0.19.0, rilasciata 446 giorni prima dell'avviso pubblico.

Implementazione e Aggiornamenti

LND è una delle implementazioni software utilizzate per operare nodi sulla Lightning Network di Bitcoin, che elabora pagamenti al di fuori del principale strato di transazione della blockchain. La ricerca di Saurabh Kumar di Bitcoin Data Labs ha trovato che le più grandi ondate di aggiornamento software della rete seguivano da vicino i rilasci di Umbrel, una piattaforma che pacchetta il software per nodi Bitcoin.

Le tre più grandi ondate hanno coinvolto tra 262 e 385 nodi ciascuna, con almeno l'87% dei nodi partecipanti che trasmettevano funzionalità software aggiornate entro 48 ore da un rilascio di Umbrel. Tuttavia, Umbrel ha distribuito quelle versioni tra 19 e 41 giorni dopo i corrispondenti rilasci di LND, introducendo un ulteriore potenziale ritardo tra la disponibilità delle correzioni da parte degli sviluppatori e la ricezione da parte degli operatori attraverso le loro piattaforme preferite.

Impatto delle Divulgazioni di Sicurezza

Questo suggerisce che i canali di distribuzione software possono influenzare significativamente la rapidità con cui l'infrastruttura di pagamento di Bitcoin adotta miglioramenti di sicurezza. Lo studio non è riuscito a identificare quali piattaforme utilizzassero i singoli nodi, lasciando irrisolta la precisa funzione degli aggiornamenti automatici.

Gli avvisi di sicurezza pubblici si sono rivelati meno efficaci nel cambiare il comportamento degli operatori. Attraverso nove divulgazioni di vulnerabilità LND, il ricercatore non ha trovato un'accelerazione statisticamente rilevabile nei nodi che si allontanavano dalle versioni di software vulnerabili.

I risultati non escludono risposte più piccole, ma mostrano che le divulgazioni non sono state seguite da chiari e diffusi picchi di aggiornamento.

Conclusioni e Raccomandazioni

I ritardi si estendono anche oltre gli incidenti di sicurezza. I nodi che operavano con software obsoleto quando le versioni LND 0.19 fino a 0.21 sono diventate disponibili hanno impiegato una mediana stimata di 88 giorni per migrare alle nuove versioni. Tuttavia, l'esposizione potenziale è distribuita in modo disuguale attraverso l'infrastruttura di pagamento di Lightning.

Alla divulgazione di agosto, le versioni vulnerabili rappresentavano il 14,9% dei nodi LND attivi, ma solo il 6,4% della loro capacità di canale, escludendo una flotta gestita identificata. Questa disparità suggerisce che i nodi affetti controllavano una quota relativamente più piccola di liquidità di pagamento.

Il ricercatore ha analizzato 814 istantanee giornaliere del grafo della rete pubblica di Lightning, utilizzando le funzionalità software pubblicizzate per dedurre le versioni di rilascio. Il metodo non può identificare versioni di patch esatte, e i nodi che si aggiornano senza trasmettere nuovi annunci possono continuare a sembrare esposti.

L'effettiva sfruttabilità dipende anche dalla vulnerabilità e dalla configurazione del nodo. Kumar ha pubblicato il codice dello studio e i dati aggregati insieme al preprint, consentendo ulteriori verifiche sui risultati.

La ricerca lascia gli sviluppatori di software per nodi e i distributori di piattaforme di fronte a una questione operativa irrisolta: come ridurre le settimane o i mesi tra il rilascio delle correzioni di sicurezza e la loro installazione attraverso la rete pubblica di Lightning.