نرم‌افزار نود لایتنینگ Eclair، متعلق به شرکت ACINQ، دو اصلاح امنیتی را در شاخه اصلی پروژه ادغام کرده است؛ اصلاحاتی که برای جلوگیری از تحمیل کارمزدهای غیرعادی استخراج و کاهش ناخواسته موجودی بیت‌کوین در زمان بازکردن یا تغییر کانال‌های پرداخت طراحی شده‌اند. این تغییرات در حالی انجام شده‌اند که تا ۱۲ اکتبر، صفحه انتشار Eclair همچنان نسخه v0.14.3 را به‌عنوان جدیدترین نسخه بسته‌بندی‌شده نشان می‌داد.
دو آسیب‌پذیری در مسیر تأمین مالی کانال‌ها
به گزارش CryptoSlate، نخستین اصلاح با شماره PR #3388 به سازوکار «جایگزینی با کارمزد» یا RBF مربوط است. این سازوکار به یک طرف اجازه می‌دهد تراکنش قبلی را با تراکنشی دارای کارمزد بیشتر جایگزین کند. چنین قابلیتی در بازکردن کانال‌های دارای تأمین مالی دوطرفه و همچنین اسپلیسینگ، یعنی تغییر موجودی تأمین‌کننده یک کانال، کاربرد دارد.
در مسیر مورد بحث، اگر Eclair بخشی از منابع تراکنش را تأمین می‌کرد، طرف مقابل می‌توانست درخواست جایگزینی تراکنش با نرخ کارمزد بالاتر را مطرح کند. نسخه قبلی Eclair برای این حالت سقف مشخص یا بودجه کارمزد تعیین نکرده بود و در نتیجه، نود مشارکت‌کننده می‌توانست پرداخت کارمزد درخواست‌شده را بر عهده بگیرد؛ حتی اگر طرف مقابل هیچ سرمایه‌ای وارد تراکنش نکرده باشد.
در این سناریو، مهاجم مستقیماً بیت‌کوین را به آدرس خود منتقل نمی‌کرد. زیان در قالب کارمزد به استخراج‌کنندگان پرداخت می‌شد، اما نتیجه برای نود قربانی می‌توانست از دست رفتن بخش بزرگی از موجودی آن باشد. اصلاح جدید، درخواست‌هایی را که نرخ کارمزدشان از حداکثر نرخ توصیه‌شده Eclair برای تأمین مالی بیشتر باشد، رد می‌کند.
این محدودیت دو استثنا دارد. اگر طرف مقابل برای خرید نقدینگی هزینه ورودی‌های Eclair را بپردازد، یا اگر نود Eclair هیچ سرمایه‌ای وارد تراکنش نکند، این نود هزینه‌ای را که اصلاح مذکور هدف گرفته است بر عهده ندارد.
بررسی مستقل کارمزد در حالت Eclair-signer
اصلاح دوم با شماره PR #3390 به پیکربندی Eclair-signer می‌پردازد. در این حالت، بیت‌کوین‌کور یا bitcoind انتخاب کوین‌ها و ساخت تراکنش را انجام می‌دهد، اما کلیدهای امضای تراکنش نزد Eclair باقی می‌مانند. نگهداری کلیدها یک لایه دفاعی مهم است، ولی به‌تنهایی برای اطمینان از درست‌بودن تراکنش کافی نیست.
اگر بک‌اند بیت‌کوین‌کور به خطر افتاده باشد، می‌تواند کارمزدی را در محدوده بودجه اعلام کند، اما تراکنشی بسازد که در عمل کارمزد بیشتری می‌پردازد. یکی از راه‌های این کار، حذف خروجی تغییر است. در حسابداری تراکنش بیت‌کوین، ارزش ورودی‌هایی که به خروجی اختصاص داده نشده‌اند، به‌عنوان کارمزد به استخراج‌کننده می‌رسد؛ بنابراین حذف خروجی تغییر می‌تواند بدون انتقال مستقیم وجه به مهاجم، باعث خرج‌شدن منابع شود.
اصلاح جدید زمانی که بودجه کارمزد ارائه شده باشد، کارمزد واقعی را از روی ارزش کوین‌های مصرف‌شده محاسبه می‌کند. این ارزش‌ها با استفاده از شناسه تراکنش دریافت می‌شوند تا مقدار ورودی‌ها قابل احراز باشد. سپس Eclair بررسی می‌کند که کارمزد اعلام‌شده از سوی بک‌اند با کارمزد واقعی مطابقت داشته و از سقف بودجه فراتر نرفته باشد.
این تغییر همچنین بررسی می‌کند که مشارکت‌های بازسازی‌شده Eclair همان کارمزد تأییدشده را پرداخت کنند و جایگاه خروجی تغییر معتبر باشد. اگر هر یک از این بررسی‌ها ناموفق باشد، تراکنش پذیرفته نمی‌شود.
این اصلاحات چه زمانی در دسترس‌اند؟
هر دو تغییر در شاخه master پروژه ادغام شده‌اند؛ اصلاح نخست در ۲ اکتبر و اصلاح دوم در ۵ اکتبر. با این حال، تا ۱۲ اکتبر صفحه انتشار Eclair همچنان نسخه سپتامبر، یعنی v0.14.3، را جدیدترین نسخه فهرست کرده بود. بنابراین ادغام کدها به‌تنهایی تأیید نمی‌کند که این اصلاحات در قالب یک نسخه رسمی و قابل نصب منتشر شده‌اند.
این دو مورد به حفاظت از تنظیمات مربوط به تأمین مالی دوطرفه، اسپلیسینگ و حالت Eclair-signer مربوط می‌شوند. اپراتورهای نود باید بررسی کنند که نسخه نصب‌شده آن‌ها تغییرات اکتبر را دربر داشته باشد. این موارد با نقص کارمزد در بستن توافقی کانال که در گزارش سپتامبر CryptoSlate مطرح شده بود و همچنین مشکلات منع سرویس پس از راه‌اندازی مجدد که در ۲ اکتبر پوشش داده شد، تفاوت دارند.
تصویر بازار بیت‌کوین و چند دارایی مرتبط
بر اساس داده‌های بازار Moneyiar در ساعت ۱۰:۰۹ روز ۱۳ اکتبر ۲۰۲۶ به وقت +۰۳:۳۰، قیمت بیت‌کوین ۸۳٬۵۰۸٫۳۵ دلار بود. این رمزارز در ۲۴ ساعت گذشته ۰٫۱۲ درصد افزایش و در بازه هفت‌روزه ۲٫۹ درصد کاهش داشته است.
در همین داده‌ها، قیمت Rootstock Infrastructure Framework با نماد RIF برابر با ۰٫۰۸۱۸۴۸۱ دلار ثبت شده و تغییرات آن در ۲۴ ساعت و هفت روز گذشته به‌ترتیب منفی ۲٫۴۴ و منفی ۰٫۹۱ درصد بوده است. قیمت Light با نماد LIGHT نیز ۰٫۱۶۷۲۸۹۹۵۴۲ دلار گزارش شده؛ تغییر روزانه آن ۱٫۷۳ درصد مثبت و تغییر هفت‌روزه آن ۹٫۴ درصد منفی بوده است. FUNToken با نماد FUN در قیمت ۰٫۰۰۸۶۹۸۶۷۸۶ دلار قرار داشت؛ این دارایی در ۲۴ ساعت ۰٫۹۳ درصد افت و در هفت روز ۷٫۲۸ درصد رشد کرده بود. ارقام این بخش، داده‌های بازار Moneyiar در زمان اعلام‌شده هستند و توصیه سرمایه‌گذاری محسوب نمی‌شوند.
