نرم‌افزار نود بیت‌کوین لایتنینگ اکلیر، متعلق به شرکت ACINQ، نسخه ۰.۱۴.۴ را منتشر کرده است؛ به‌روزرسانی‌ای که یک مسیر حمله از طریق مرورگر را می‌بندد. این نقص می‌توانست به یک صفحه وب مخرب اجازه دهد، با استفاده از اعتبارنامه‌های ذخیره‌شده در مرورگر کاربر، فرمان‌های احراز هویت‌شده را به رابط برنامه‌نویسی کاربردی نود ارسال کند.
سازوکار آسیب‌پذیری
طبق گزارش CryptoSlate، این وضعیت فقط زمانی امکان‌پذیر بود که API اکلیر فعال باشد، از طریق مرورگر اپراتور قابل دسترسی باشد و اطلاعات ورود HTTP Basic نیز پیش‌تر در همان مرورگر ذخیره شده باشد. در چنین شرایطی، یک وب‌سایت مخرب می‌توانست با ارسال یک فرم ساده HTML، مرورگر را وادار کند اعتبارنامه‌های ذخیره‌شده را به API ارائه دهد.
مهاجم پاسخ API را نمی‌خواند، اما خود فرمان احراز هویت‌شده به نود می‌رسید. اهمیت موضوع از این جهت است که API اکلیر برای مشاهده وضعیت نود، باز و بسته کردن کانال‌های لایتنینگ و ارسال یا دریافت پرداخت‌ها استفاده می‌شود. بنابراین، مسئله صرفاً به مشاهده اطلاعات محدود نبود و می‌توانست به اجرای عملیات روی نود منجر شود.
تغییری که نسخه جدید ایجاد می‌کند
اکلیر در نسخه ۰.۱۴.۴، که در ۱۵ اکتبر منتشر شد، درخواست‌هایی را که هدر Origin دارند پیش از رسیدن به مسیر API با پاسخ HTTP 403 رد می‌کند؛ مقدار این هدر تفاوتی ندارد. این تغییر مسیر ارسال فرمان از یک صفحه وب به API نود را مسدود می‌کند.
در عین حال، رابط‌های کاربری مرورگری قانونی نیز تحت تأثیر این محدودیت قرار می‌گیرند؛ حتی اگر در همان مبدأ API میزبانی شده باشند. چنین رابط‌هایی پس از این تغییر به یک سرور واسط در سمت پشت‌صحنه نیاز دارند تا میان مرورگر و اکلیر ارتباط برقرار کند.
دسترسی‌های معمول خط فرمان ادامه پیدا می‌کنند. به گفته نگه‌داران پروژه، درخواست‌های curl و eclair-cli هدر Origin را ارسال نمی‌کنند و در نتیجه استفاده عادی از API از این مسیر مختل نمی‌شود. با این حال، نبودن Origin به‌تنهایی نشانه مجاز بودن درخواست نیست؛ احراز هویت و محدودیت شبکه همچنان ضروری است. نگه‌دار اکلیر با نام pm47 توصیه کرده API روی loopback باقی بماند تا دسترسی شبکه‌ای آن به همان رایانه محلی محدود شود.
به‌روزرسانی بدون بستن کانال‌ها
اصلاح مربوط به مرورگر در ۱۵ سپتامبر، در درخواست ادغام شماره ۳۳۸۰، وارد پروژه شد و همراه نسخه ۰.۱۴.۴ منتشر شده است. این نسخه همچنین شامل اصلاحات مرتبط با کارمزد تأمین مالی و امضاکننده است؛ موضوعاتی که CryptoSlate در ۱۲ اکتبر پوشش داده بود.
نگه‌داران پروژه به اپراتورها توصیه کرده‌اند اکلیر را ارتقا دهند. برای نصب، می‌توان نود را متوقف کرد، نسخه جدید را نصب و سپس آن را دوباره اجرا کرد؛ طبق توضیحات منتشرشده، این فرایند به بستن کانال‌های لایتنینگ نیاز ندارد.
تصویر بازار طبق داده‌های Moneyiar
داده‌های Moneyiar در زمان‌های ثبت‌شده، قیمت و تغییرات زیر را نشان می‌دهد:
- Nexus (NEX): قیمت ۰.۰۰۰۰۰۰۷۰۵۱ دلار؛ تغییر ۲۴ساعته منفی ۴.۰۷ درصد و تغییر هفت‌روزه منفی ۱۳.۴۷ درصد، در ساعت ۲۱:۵۹ روز ۱۷ اکتبر ۲۰۲۶.
- Light (LIGHT): قیمت ۰.۱۶۷۲۸۹۹۵۴۲ دلار؛ تغییر ۲۴ساعته مثبت ۱.۷۳ درصد و تغییر هفت‌روزه منفی ۹.۴ درصد، در ساعت ۰۲:۵۳ روز ۱۴ سپتامبر ۲۰۲۶.
- Alchemy Pay (ACH): قیمت ۰.۰۰۵۲۷۳۸۷۷۷ دلار؛ تغییر ۲۴ساعته منفی ۴.۳۱ درصد و تغییر هفت‌روزه منفی ۱۲.۷۵ درصد، در ساعت ۲۱:۵۹ روز ۱۷ اکتبر ۲۰۲۶.
- Request (REQ): قیمت ۰.۰۵۳۵۰۷۹۹۰۹ دلار؛ تغییر ۲۴ساعته مثبت ۴.۰۷ درصد و تغییر هفت‌روزه منفی ۲.۵ درصد، در ساعت ۲۱:۵۸ روز ۱۷ اکتبر ۲۰۲۶.
