Eine am 21. Oktober von Saurabh Kumar von Bitcoin Data Labs veröffentlichte Studie zeigt, dass die Mehrheit der Bitcoin-Lightning-Knoten, die in einer Sicherheitsveröffentlichung im August als verwundbar identifiziert wurden, verfügbare Patches nicht angewendet haben. Von den 550 öffentlichen LND-Knoten, die am 11. August markiert wurden, betrieben 71 % noch am 13. Oktober betroffene Software-Reihen, wobei lediglich 10 % in diesem Zeitraum aktualisiert wurden. Die Forschung unterstreicht anhaltende Verzögerungen bei der Absicherung der Zahlungsinfrastruktur des Lightning Networks, obwohl Fixes seit über einem Jahr verfügbar sind.

BTC / USD
Quelle: CoinGecko. Kurse sind Richtwerte.

Die Patch-Akzeptanz bleibt trotz langjähriger Fixes niedrig

Die Veröffentlichung im August hob sechs Schwachstellen hervor, die in der LND-Version 0.19.0 behoben wurden, die 446 Tage vor der öffentlichen Warnung veröffentlicht wurde. Dennoch betrieben drei Viertel der markierten Knoten den verwundbaren Code bis Oktober weiter. Kumars Analyse von 814 täglichen Snapshots des öffentlichen Netzwerkgraphen zeigt, dass Knoten oft hinter den Entwicklern zurückbleiben, mit Median-Migrationszeiten von 88 Tagen für Veröffentlichungen zwischen LND 0.19 und 0.21.

Vertriebskanäle steuern den Zeitpunkt der Aktualisierung

Die Studie ergab, dass die größten Aktualisierungswellen mit Veröffentlichungen von Umbrel zusammenfielen, einer beliebten Plattform, die Bitcoin-Knotensoftware bündelt. Jede Welle umfasste 262 bis 385 Knoten, und 87 % dieser Knoten strahlten aktualisierte Softwarefunktionen innerhalb von 48 Stunden nach einer Umbrel-Veröffentlichung aus. Allerdings verteilte Umbrel die neuen LND-Versionen typischerweise 19 bis 41 Tage nach der Upstream-Veröffentlichung, was eine zusätzliche Verzögerung zwischen der Verfügbarkeit von Patches und ihrer Implementierung auf den Systemen der Endknoten-Betreiber schafft.

Sicherheitswarnungen allein haben keine Aktualisierungen ausgelöst

Bei neun LND-Schwachstellen-Veröffentlichungen beobachtete Kumar keine statistisch signifikante Beschleunigung bei der Abwanderung der Knoten von betroffenen Software-Reihen nach öffentlichen Warnungen. Während kleinere, lokale Reaktionen nicht ausgeschlossen werden können, deuten die Daten darauf hin, dass Warnungen allein nicht ausreichen, um eine weitreichende Patch-Implementierung auszulösen.

Was als Nächstes zu beobachten ist

Zukünftige Forschungen müssen feststellen, welche Knotenbetreiber auf Plattformen wie Umbrel angewiesen sind und welche manuelle Updates vornehmen, und ob automatische Update-Mechanismen die Lücke schließen können. Die Überwachung bevorstehender Lightning-Network-Veröffentlichungen und Änderungen in den Vertriebspraktiken wird entscheidend sein, um zu bewerten, ob das Ökosystem seine Reaktion auf Sicherheitslücken verbessern kann.