Um estudo divulgado em 21 de outubro por Saurabh Kumar, da Bitcoin Data Labs, revela que a maioria dos nós Bitcoin Lightning identificados como vulneráveis em um alerta de segurança de agosto não aplicou os patches disponíveis. Dos 550 nós públicos LND sinalizados em 11 de agosto, 71 % ainda operavam em linhas de software afetadas em 13 de outubro, com apenas 10 % realizando upgrade nesse período. A pesquisa destaca atrasos persistentes na proteção da infraestrutura de pagamentos da Lightning Network, apesar de correções disponíveis há mais de um ano.

BTC / USD
Fonte: CoinGecko. Preços indicativos.

Adoção de patches permanece baixa apesar de correções antigas

O alerta de agosto destacou seis vulnerabilidades corrigidas na versão LND 0.19.0, lançada 446 dias antes do aviso público. Ainda assim, três quartos dos nós sinalizados continuaram a rodar o código vulnerável até outubro. A análise de Kumar, baseada em 814 snapshots diários do grafo da rede pública, indica que os nós costumam ficar atrás dos desenvolvedores, com tempo médio de migração de 88 dias entre as versões LND 0.19 e 0.21.

Canais de distribuição determinam o timing das atualizações

O estudo constatou que as maiores ondas de upgrade coincidiram com lançamentos da Umbrel, plataforma popular que empacota o software de nós Bitcoin. Cada onda envolveu de 262 a 385 nós, e 87 % desses nós divulgaram recursos de software atualizados dentro de 48 horas após um lançamento da Umbrel. Contudo, a Umbrel costuma distribuir as novas versões do LND de 19 a 41 dias após o lançamento upstream, criando um atraso adicional entre a disponibilidade dos patches e sua implantação nos sistemas dos operadores de nós.

Avisos de segurança por si só não impulsionaram upgrades

Em nove divulgações de vulnerabilidades do LND, Kumar não observou aceleração estatisticamente significativa na migração dos nós para versões não afetadas após os alertas públicos. Embora respostas menores e localizadas não possam ser descartadas, os dados sugerem que os avisos, isoladamente, são insuficientes para gerar patching em larga escala.

O que observar a seguir

Pesquisas futuras precisarão identificar quais operadores de nós dependem de plataformas como a Umbrel versus atualizações manuais, e se mecanismos automáticos de atualização podem fechar essa lacuna. Monitorar os próximos lançamentos da Lightning Network e quaisquer mudanças nas práticas de distribuição será crucial para avaliar se o ecossistema melhora sua resposta a vulnerabilidades de segurança.