Un bug dangereux dans le réseau Lightning de Bitcoin a été corrigé

Un réseau de paiement populaire fonctionnant sur la blockchain Bitcoin souffrait d'une vulnérabilité de code de longue date, une ONE dans laquelle les attaquants pouvaient vider l'argent des utilisateurs.

Bien qu'initialement signalé au public sur30 août par le développeur de Bitcoin Rusty Russell, la Déclaration de transparence complète détaillant comment cette vulnérabilité pourrait être exploitée par un attaquant a été publiée vendredi.

« Un attaquant peut prétendre ouvrir un canal [de paiement par éclairage] mais soit ne pas payer le pair, soit ne pas payer le montant total », a écrit Russell dans leDéclaration de transparence complète.

Le réseau Lightning est un protocole de paiement de couche 2 permettant des transactions ultra-rapides et quasiment gratuites sur la blockchain Bitcoin . Pour effectuer des transactions sur le réseau Lightning, les utilisateurs doivent ouvrir des « canaux de paiement » pour envoyer et recevoir des fonds d'autres utilisateurs Lightning.

Sans les vérifications appropriées, un attaquant pourrait prétendre ouvrir un nouveau canal de paiement et envoyer de fausses transactions. Dupé, un utilisateur honnête pourrait alors renvoyer de l'argent réel à l'attaquant, ignorant que les transactions précédentes étaient totalement artificielles. On ignore combien d'utilisateurs ont été victimes de telles attaques.

Selon Russell, tous les principaux clients du logiciel Lightning ont déjà été mis à niveau pour corriger cette vulnérabilité.

Lorsqu'on lui a demandé pourquoi il avait fallu trois mois pour que la vulnérabilité soit révélée aux utilisateurs, Pierre-Marie Padiou, PDG d'uneentreprise maintenir ONEune des trois implémentations Lightning les plus populaires – a déclaré que les développeurs devaient faire preuve de prudence.

« Le problème avec cette vulnérabilité, c'est qu'une fois connue, elle paraît tellement évidente », a déclaré Padiou. « Trois mois, ce n'est pas long. C'est plutôt court, car il faut laisser aux utilisateurs le temps nécessaire pour effectuer la mise à jour. … Beaucoup d'utilisateurs ne le font T . »

Les développeurs de Lightning, a-t-il ajouté, ne voulaient pas risquer de révéler la vulnérabilité jusqu'à ce qu'ils soient absolument certains qu'aucun utilisateur n'était en danger.

« Il y a toujours des problèmes. Même sur le protocole Bitcoin , il y a eu des bugs », a déclaré Padiou, ajoutant :

« Il y aura toujours des bugs. L'important est de savoir comment les gérer au mieux pour protéger les utilisateurs. »

Bastien Teinturier, développeur logiciel Acinq image via Gazouillement