Ein Sicherheitsfehler in Core Lightning, der beliebten Softwareimplementierung für das Lightning Network von Bitcoin, kann dazu führen, dass Knoten bei jedem Neustart wiederholt abstürzen, selbst nachdem Betreiber die neuesten Softwarepatches installiert haben. Laut Forscher Nishant Bansal resultiert das Problem aus einer fehlerhaften Kanalankündigung, die auf der Festplatte des Knotens gespeichert bleibt. Obwohl im April ein Fix veröffentlicht wurde, um neue bösartige Eingaben zu verhindern, löscht er nicht automatisch vorhandene fehlerhafte Daten, sodass gefährdete Installationen weiterhin von anhaltenden Ausfällen betroffen sind, sofern keine spezifischen Einträge manuell gelöscht werden.

BTC / USD
Quelle: CoinGecko. Kurse sind Richtwerte.

Persistenter Absturzauslöser im Gossip-Store

Bansal machte die Schwachstelle am 24. Oktober öffentlich und identifizierte die Versionen v25.02 bis v26.04 als betroffen. Der Fehler tritt auf, wenn ein Knoten eine Kanalankündigung akzeptiert, die denselben zuvor unbekannten Knoten als beide Endpunkte auflistet. Die anfällige Software schreibt diese fehlerhafte Daten in den on‑disk Gossip-Store, bevor sie versucht, sie in den Routing‑Graph zu laden. Während dieses Prozesses versucht das System, den Knoten zweimal einzufügen, was einen Duplikat‑Sicherheitsmechanismus auslöst, der die Komponente gossipd abbricht. Core Lightning behandelt diesen Fehler als fatal und führt zum Absturz des gesamten Knotens. Da der bösartige Eintrag auf der Festplatte bleibt, lädt der Knoten beim Neustart denselben Auslöser erneut und stürzt sofort ab.

Der April‑Patch akzeptiert laut Bansal neue eingehende Ankündigungen lediglich, indem er die Reihenfolge der Endpunkte prüft. Er durchsucht oder entfernt jedoch keine bereits vorhandenen Einträge im Gossip-Store. Daher werden Betreiber, die ohne manuelles Entfernen des fehlerhaften Eintrags upgraden, weiterhin Abstürze erleben. Bitcoin Optech hob am 30. Oktober diese Diskrepanz hervor und stellte fest, dass die präventive Lösung seit dem 25. April verfügbar war, als Core Lightning Version v26.04.1 veröffentlicht wurde.

Manuelle Entfernung und fortlaufende Risiken

Um das Problem zu beheben, müssen Betreiber gezielt den bösartigen Eintrag im Gossip-Store identifizieren und löschen. Ein einfaches Upgrade reicht nicht aus, um die Stabilität wiederherzustellen. Darüber hinaus deutet die Offenlegung darauf hin, dass ein Angreifer dieselbe Ankündigung erneut senden kann, solange der angreifert kontrollierte Finanzierungsoutput unbenutzt bleibt, was bedeutet, dass eine gefährdete Installation weiterhin neuen Angriffen ausgesetzt ist, selbst nach Bereinigung, sofern sie nicht auf eine sichere Version aktualisiert wird.

Bitcoin Optech stellte ebenfalls fest, dass Core Lightning-Versionen vor v25.02 solche Ankündigungen akzeptieren und weiterleiten konnten, ohne selbst abzubrechen. Dies ermöglichte es Angreifern, die bösartigen Daten im Netzwerk zu verbreiten, ohne eine direkte Verbindung zu jedem gefährdeten Knoten zu benötigen, was den potenziellen Umfang des Problems vergrößerte.