Core Lightning (CLN), l’une des principales implémentations du Lightning Network soutenue par Blockstream et active sur le réseau principal depuis 2018, a confirmé que plusieurs rapports de vulnérabilité étaient avérés. Le 13 août, l’équipe a déclaré avoir reçu une vague de rapports générés par intelligence artificielle sur une dizaine de jours ; après tri par un petit groupe de développeurs et volontaires, plusieurs de ces signalements se sont révélés être de vrais bugs. Ce constat a transformé une maintenance prévue en une opération de sécurité coordonnée.

Les correctifs seront publiés dans les prochains jours, mais les détails techniques resteront sous embargo pendant deux semaines afin d’empêcher des attaquants d’exploiter les failles dès la lecture des rapports. L’équipe publiera d’abord le logiciel corrigé, avec des signatures de développeurs qui permettent de vérifier que les binaires correspondent au code source, puis diffusera le rapport complet début septembre. Les correctifs adressent bon nombre des failles mais pas toutes.

L’impact pratique dépend entièrement du rythme de déploiement des opérateurs de nœuds : les utilisateurs finaux n’ont pas de contrôle direct sur les fonds qui transitent via des nœuds exploités par des tiers. Les opérateurs qui retardent la mise à jour conservent toutefois une option temporaire : mettre un nœud hors ligne tout en maintenant le daemon actif pour couper ses connexions et limiter l’exposition. Cette situation intervient après une série d’attaques ciblant l’écosystème Bitcoin cette année, dont des exploits ciblant BTCPay Server et le wallet Coldcard.

La pression augmente à mesure que Lightning est intégré à des wallets mobiles en auto-conservation et à des outils de paiement dans des messageries, élargissant la base d’utilisateurs exposés si le routage ou l’implémentation présente des défaillances. Adam Back, dirigeant de Blockstream, reste une figure centrale dans les débats sur l’orientation du scaling de Bitcoin et ces opérations de maintenance discrètes attirent désormais plus d’attention publique.