Los desarrolladores de Core Lightning confirmaron que varias vulnerabilidades en el software de la Red Lightning de Bitcoin son reales. El equipo publicará actualizaciones de software corregidas en unos días, pero los detalles técnicos permanecerán en secreto durante dos semanas.
Lightning mueve pequeños pagos de Bitcoin fuera de la cadena de bloques principal a través de canales entre nodos. Hasta que los operadores instalen la solución, el dinero estacionado en esos canales permanece detrás de un código que el equipo ya sabe que es defectuoso.
La vulnerabilidad de la Red Lightning de Bitcoin surgió de una avalancha de informes generados por IA
Core Lightning (CLN) es una de las principales implementaciones de la Red Lightning, la capa de pago de Bitcoin. Blockstream respalda el proyecto, y el software ha estado funcionando en la red principal de Bitcoin desde 2018.
El 13 de agosto, el equipo dijo que había recibido una ola de informes de vulnerabilidades generados por IA de múltiples fuentes durante los 10 días anteriores. Un pequeño grupo de desarrolladores y voluntarios luego clasificó los errores reales del ruido.
Varios informes resultaron ser válidos. Ese resultado convirtió la limpieza rutinaria en un lanzamiento de seguridad coordinado, y el equipo abandonó su plan original de una rápida actualización de parches.
La infraestructura de Bitcoin ha recibido golpes repetidos este año. En agosto, BTCPay Server advirtió a los operadores que actualizaran después de que los atacantes drenaran fondos de los usuarios a través de un fallo de credenciales. Un exploit de Coldcard había surgido días antes.
Lo que significa el embargo de dos semanas para los usuarios de Bitcoin
Retener detalles es el objetivo. Los atacantes que leen un informe de errores público a menudo pueden construir un exploit funcional en pocas horas. Por lo tanto, el equipo envía primero el software corregido y publica el informe completo a principios de septiembre.
Las actualizaciones llevan firmas de desarrollador que confirman la reproducibilidad, por lo que los externos pueden verificar que la versión coincide con el código fuente. Las correcciones cubren muchos de los fallos reportados, aunque no todos.
Los usuarios ordinarios de Lightning no tienen palanca aquí. Sus pagos viajan a través de nodos que otras personas ejecutan, por lo que el ritmo del despliegue depende de esos operadores.
Los operadores que omiten la actualización tienen una alternativa. Desconectar un nodo corta sus enlaces a otros nodos mientras deja vivo el daemon. Un daemon es el programa en segundo plano detrás de un nodo, que observa la blockchain y reacciona cuando se cierra un canal de pago.
Las apuestas aumentan a medida que Lightning llega a más personas. Productos recientes lo han llevado a billeteras móviles de autocustodia y herramientas de pago en aplicaciones de chat, lo que amplía el grupo expuesto a un fallo de enrutamiento.
El director ejecutivo de Blockstream, Adam Back, ha pasado gran parte de 2026 en peleas públicas sobre la dirección de escalado de Bitcoin. El trabajo de mantenimiento silencioso como este rara vez atrae la misma audiencia.
Los nodos que quedan sin parchear y en línea conllevan riesgos que los desarrolladores describen como conocidos pero que aún no detallarán. El embargo se levanta a principios de septiembre, lo que le da a los operadores una pista clara para actualizar mientras los detalles permanecen fuera de alcance.
Fuente: BeInCrypto
