„Lightning Labs“ atskleidžia kritines klaidas, žyminčias atšauktas apmokėtas sąskaitas faktūras, todėl kyla pavojus, kad produktas bus pristatytas nemokamai
„Lightning Labs“ 2026 m. rugsėjo 21 d. paskelbė, kad senesnės „Lightning Terminal“ programinės įrangos trūkumas gali reikšti, kad „Bitcoin Lightning“ sąskaita faktūra buvo apmokėta po to, kai mokėjimas buvo atšauktas ir grąžintas siuntėjui.
Prekybininkas, pasikliaujantis ta sąskaitos faktūros būsena, gali išleisti prekes arba kreditą negavęs lėšų. Bendrovė apibūdina šią riziką, bet nepateikia faktinių prekybininkų nuostolių.
Problema kilo dėl programinės įrangos sąskaitos faktūros įrašo ir mokėjimo rezultato neatitikimo. Atliekant „Lightning“ mokėjimą, lėšoms pervesti naudojama maišos trukmės sutartis (HTLC).
Šiuo atveju HTLC buvo atšauktas tinkle ir grąžintas siuntėjui, o gaunantis mazgas vis tiek įrašė sąskaitą faktūrą kaip apmokėtą. Patariame neaprašoma Bitcoin bazinės grandinės gedimo.
„Lightning Terminal“ paketai tapd, „Taproot Assets“ programinė įranga su „lnd Lightning“ mazgu. Paveiktoje sąrankoje tapd įjungė savo sąskaitų faktūrų perimtuvą ir visus HTLC, turinčius pasirinktinius laidų įrašus, traktavo kaip turto mokėjimą.
Kai kurie siuntėjų diegimai pridėjo eksperimentinį patvirtinimo įrašą net prie įprastų BTC mokėjimų, todėl „Tapd“ griežta persiuntimo taisyklė nurodo „lnd“ atšaukti HTLC rinkinį. Aktyviklis nereikalavo, kad prekybininkas turėtų atvirų išteklių kanalų.
Antras defektas sėdėjo lnd. Kai perėmėjas atšaukė HTLC rinkinį, paveiktos versijos atšaukė mokėjimą per laidą, bet vis tiek pažymėjo savo sąskaitą faktūrą kaip apmokėtą duomenų bazėje.
Tai reiškė, kad klaida buvo kitame lnd kliente HtlcModifier sąsaja, kuri atšaukė HTLC rinkinį, gali sukelti tą patį neatitikimą. „Lightning Labs“ pažeidžiamumą vertina labai rimtai, nes dėl klaidingai apmokėtos būsenos operatorius arba mokėjimo tarnyba gali atleisti už mokėjimą, kuris taip ir nebuvo atliktas. Anot patarėjo, siuntėjo lėšoms pavojus nekilo.
Pataisymai išsiųsti prieš atskleidžiant
„Lightning Terminal v0.15.0-alpha“ paketai ištaiso abu defektus. „Lightning Labs“ nurodo paveiktas ankstesnes terminalo versijas, taip pat „taproot“ išteklius iki 0.5.0 ir lnd 0.18.4–0.18.5 beta versijų.
2025 m. vasario 12 d. 0.5.1 versijos tapd paleidiklis buvo pataisytas. Terminalas v0.14.1-alpha įtraukė šį pataisymą, bet jo susietoje lnd versijoje vis tiek buvo pagrindinis sąskaitos faktūros būsenos defektas.
lnd v0.19.0-beta apskaitos klaidą ištaisė 2025 m. gegužės 22 d. Todėl 2026 m. rugsėjo mėn. patarimas atskleidė pažeidžiamumą, kurio atitinkami pataisymai buvo išsiųsti 2025 m. Terminalų operatoriams, kurie negali atnaujinti ir neturi išteklių kanalų, „Lightning Labs“ nustato --taproot-assets-mode=disable kaip būdas išvengti pastebėto tapd trigerio.
