Un estudio publicado el 21 de octubre por Saurabh Kumar de Bitcoin Data Labs revela que la mayoría de los nodos de Bitcoin Lightning identificados como vulnerables en una divulgación de seguridad de agosto no han aplicado los parches disponibles. De los 550 nodos LND públicos señalados el 11 de agosto, el 71% aún operaba con líneas de software afectadas a fecha del 13 de octubre, con apenas un 10% que se actualizó durante ese período. La investigación subraya los retrasos persistentes en la seguridad de la infraestructura de pagos de la Lightning Network, a pesar de que las correcciones están disponibles desde hace más de un año.

BTC / USD
Fuente: CoinGecko. Precios orientativos.

La adopción de parches sigue siendo baja a pesar de las correcciones de larga data

La divulgación de agosto destacó seis vulnerabilidades que habían sido corregidas en la versión 0.19.0 de LND, lanzada 446 días antes de la advertencia pública. Sin embargo, tres cuartas partes de los nodos señalados continuaron ejecutando el código vulnerable hasta octubre. El análisis de Kumar de 814 instantáneas diarias del grafo de la red pública indica que los nodos suelen rezagarse respecto a los desarrolladores, con tiempos medianos de migración de 88 días para las versiones entre LND 0.19 y 0.21.

Los canales de distribución impulsan el momento de las actualizaciones

El estudio encontró que las mayores oleadas de actualización coincidieron con las versiones de Umbrel, una plataforma popular que agrupa el software de nodos de Bitcoin. Cada oleada involucró entre 262 y 385 nodos, y el 87% de esos nodos difundió funciones de software actualizadas dentro de las 48 horas posteriores a una versión de Umbrel. Sin embargo, Umbrel generalmente distribuía las nuevas versiones de LND de 19 a 41 días después de la versión aguas arriba, creando un retraso adicional entre la disponibilidad de los parches y su despliegue en los sistemas de los operadores de nodos finales.

Las advertencias de seguridad por sí solas no impulsaron las actualizaciones

A lo largo de nueve divulgaciones de vulnerabilidades de LND, Kumar no observó una aceleración estadísticamente significativa en el movimiento de los nodos lejos de las líneas de software afectadas tras las advertencias públicas. Si bien no se pueden descartar respuestas localizadas más pequeñas, los datos sugieren que las alertas por sí solas son insuficientes para desencadenar parches generalizados.

Qué observar a continuación

Las investigaciones futuras necesitarán identificar qué operadores de nodos dependen de plataformas como Umbrel frente a actualizaciones manuales, y si los mecanismos de actualización automática pueden cerrar la brecha. Monitorear las próximas versiones de la Lightning Network y cualquier cambio en las prácticas de distribución será clave para evaluar si el ecosistema puede mejorar su respuesta a las vulnerabilidades de seguridad.