Исследование, опубликованное 21 октября Saurabh Kumar из Bitcoin Data Labs, показывает, что большинство узлов Bitcoin Lightning, признанных уязвимыми в августе, не применили доступные патчи. Из 550 публичных узлов LND, отмеченных 11 августа, 71% по состоянию на 13 октября все еще работали на затронутых версиях ПО, при этом лишь 10% обновились за этот период. Исследование подчеркивает устойчивые задержки в обеспечении безопасности платежной инфраструктуры Lightning Network, несмотря на то, что исправления доступны более года.

BTC / USD
Источник: CoinGecko. Цены ориентировочные.

Внедрение патчей остается низким, несмотря на давно существующие исправления

Августовское раскрытие информации выделило шесть уязвимостей, которые были исправлены в версии LND 0.19.0, выпущенной за 446 дней до публичного предупреждения. Тем не менее три четверти отмеченных узлов продолжали использовать уязвимый код до октября. Анализ Kumar 814 ежедневных снимков публичного графа сети показывает, что узлы часто отстают от разработчиков, с медианным временем миграции 88 дней для релизов между LND 0.19 и 0.21.

Каналы дистрибуции определяют время обновлений

Исследование показало, что крупнейшие волны обновлений совпали с релизами от Umbrel, популярной платформы, которая объединяет программное обеспечение узлов Bitcoin. Каждая волна затрагивала от 262 до 385 узлов, и 87% из них транслировали обновленные функции ПО в течение 48 часов после релиза Umbrel. Однако Umbrel обычно распространяла новые версии LND через 19–41 день после выпуска основной версии, создавая дополнительную задержку между доступностью патчей и их внедрением на системах конечных операторов узлов.

Предупреждения о безопасности сами по себе не стимулировали обновления

В ходе девяти раскрытий информации об уязвимостях LND Kumar не обнаружил статистически значимого ускорения перехода узлов с затронутых версий ПО после публичных предупреждений. Хотя нельзя исключить более мелкие, локализованные реакции, данные указывают на то, что одни лишь оповещения недостаточны для запуска массового обновления патчей.

За чем следить дальше

Будущие исследования должны будут определить, какие операторы узлов полагаются на платформы вроде Umbrel, а какие на ручные обновления, и могут ли механизмы автоматического обновления сократить этот разрыв. Мониторинг предстоящих релизов Lightning Network и любых изменений в практиках дистрибуции будет ключевым для оценки того, сможет ли экосистема улучшить свою реакцию на уязвимости безопасности.