A nova versão do software Lightning da ACINQ impede que uma página maliciosa aproveite credenciais salvas no navegador do operador para enviar comandos autenticados à API do nó.
O Eclair Lightning, software de nó da ACINQ para a rede Lightning do Bitcoin, ganhou a versão v0.14.4 em 15 de outubro. Segundo a CryptoSlate, a atualização bloqueia uma rota pela qual páginas maliciosas emitiriam comandos autenticados por meio do navegador do operador.
Como funcionava a brecha no Eclair Lightning
A exposição dependia de condições específicas: a API do Eclair precisava estar ativada e acessível pelo navegador do operador, que também precisava ter a autenticação HTTP Basic já guardada em cache.
Essa API permite consultar o estado do nó, abrir e fechar canais e enviar e receber pagamentos. Conforme as notas da versão, uma página maliciosa podia submeter um formulário HTML simples ao nó, e o navegador anexava as credenciais salvas por conta própria.
O atacante não conseguia ler a resposta, mas o comando autenticado ainda chegava ao nó.
Toda requisição com cabeçalho Origin recebe HTTP 403 antes de a rota da API ser executada, qualquer que seja o valor.
Interfaces de navegador, mesmo na mesma origem da API, agora precisam de um backend intermediário.
curl e eclair-cli não enviam o Origin, então o uso normal segue funcionando.
Autenticação e rede continuam essenciais
A verificação do Origin não substitui as demais defesas. Um cliente fora do navegador pode omitir o cabeçalho, então a ausência dele não prova que a requisição é legítima.
O mantenedor pm47 afirma que a API deve continuar restrita ao loopback, limitando o acesso à própria máquina.
Atualizar sem fechar canais
Os mantenedores recomendam atualizar. Segundo a fonte, o operador pode parar o Eclair, instalar a nova versão e reiniciar sem encerrar seus canais Lightning.
A correção foi incorporada em 15 de setembro, no pull request #3380, e acompanha na v0.14.4 os reparos de taxas de funding e de signer já noticiados pela CryptoSlate em 12 de outubro.
Leia também: guia completo de criptomoedas.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Proteja suas chaves com segurança de verdade
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Quase 700 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia no Brasil, suporte técnico em português.
Leituras relacionadas
Core Lightning alerta: atualize seu node com urgênciaDesenvolvedores do Core Lightning pedem atualização urgente de nodes após IAs detectarem múltiplas
BitGo lança Lightning Earn para institucionalizar a Lightning NetworkO BitGo Bank & Trust, banco regulamentado pelo OCC e listado na NYSE, anunciou o Lightning Earn, que permite
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.
As notícias que movem o mercado, sem ruído
Um resumo do que realmente importou em cripto e economia, direto no seu e-mail. Sem hype e sem recomendação de investimento.