Une étude publiée le 21 octobre par Saurabh Kumar de Bitcoin Data Labs révèle que la majorité des nœuds Bitcoin Lightning identifiés comme vulnérables lors d'une divulgation de sécurité en août n'ont pas appliqué les correctifs disponibles. Sur les 550 nœuds LND publics signalés le 11 août, 71 % fonctionnaient encore sur des lignes de logiciels affectées au 13 octobre, avec seulement 10 % ayant effectué la mise à niveau durant cette période. La recherche souligne des retards persistants dans la sécurisation de l'infrastructure de paiement du Lightning Network, malgré la disponibilité des correctifs depuis plus d'un an.

BTC / USD
Source : CoinGecko. Prix indicatifs.

L'adoption des correctifs reste faible malgré des solutions existantes depuis longtemps

La divulgation d'août a mis en lumière six vulnérabilités corrigées dans la version 0.19.0 de LND, publiée 446 jours avant l'avertissement public. Pourtant, les trois quarts des nœuds signalés continuaient d'exécuter le code vulnérable en octobre. L'analyse de Kumar portant sur 814 instantanés quotidiens du graphe du réseau public indique que les nœuds sont souvent en retard par rapport aux développeurs, avec des délais médians de migration de 88 jours pour les versions entre LND 0.19 et 0.21.

Les canaux de distribution déterminent le calendrier des mises à jour

L'étude a révélé que les plus grandes vagues de mises à jour coïncidaient avec les publications d'Umbrel, une plateforme populaire qui regroupe les logiciels de nœuds Bitcoin. Chaque vague concernait de 262 à 385 nœuds, et 87 % de ces nœuds diffusaient les nouvelles fonctionnalités logicielles dans les 48 heures suivant une publication d'Umbrel. Cependant, Umbrel distribuait généralement les nouvelles versions de LND de 19 à 41 jours après la publication amont, créant un retard supplémentaire entre la disponibilité des correctifs et leur déploiement sur les systèmes des opérateurs de nœuds.

Les avertissements de sécurité seuls n'ont pas incité aux mises à jour

Au cours de neuf divulgations de vulnérabilités LND, Kumar n'a observé aucune accélération statistiquement significative du passage des nœuds à des versions non affectées après les avertissements publics. Bien que des réactions localisées plus petites ne puissent être exclues, les données suggèrent que les alertes seules sont insuffisantes pour déclencher une application généralisée des correctifs.

À surveiller à l'avenir