یک آسیب‌پذیری در نسخه‌های قدیمی Eclair، یکی از پیاده‌سازی‌های شبکه لایتنینگ بیت‌کوین، می‌تواند نودهای در دسترس را بدون نیاز به پرداخت بیت‌کوین روی زنجیره اصلی، بارها از کار بیندازد. مشکل زمانی جدی‌تر می‌شود که رکوردهای کانال‌های جعلی روی دیسک ذخیره شده باشند؛ زیرا راه‌اندازی دوباره نود ممکن است همان بار حافظه را دوباره ایجاد و موجب خرابی مجدد شود.
حمله بدون تأمین مالی کانال
بر اساس گزارش CryptoSlate، این نقص نسخه 0.14.0 و نسخه‌های قدیمی‌تر Eclair را در نودهایی که از اینترنت قابل دسترسی هستند، تحت تأثیر قرار می‌دهد. اریک کاستاری در 30 سپتامبر یافته مربوط به از کار انداختن ماندگار نود را منتشر کرد و در مطلبی در اول اکتبر، جزئیات آن را در کنار یک نقص جداگانه در زمینه حمله منع سرویس توضیح داد.
در شبکه لایتنینگ، کانال پرداخت معمولاً با یک تراکنش تأمین مالی روی بلاک‌چین بیت‌کوین ایجاد می‌شود. با این حال، در این سناریو مهاجم می‌توانست درخواست‌های کانالِ تأمین‌نشده را به سمت نود قربانی ارسال کند، بدون آن‌که تراکنش تأمین مالی را منتشر کند یا کارمزدی روی زنجیره بپردازد.
Eclair برای محدود کردن تعداد کانال‌های در حال انتظار هر همتا، سازوکاری داشت؛ اما بررسی‌های ناسازگار درباره شناسه موقت و شناسه نهایی کانال باعث می‌شد شمارنده تعداد درخواست‌ها را کمتر از مقدار واقعی نشان دهد. در نتیجه، مهاجم می‌توانست درخواست‌های بیشتری را ذخیره کند و برای نود، هزینه پردازشی، حافظه‌ای و پایگاه‌داده‌ای ایجاد کند؛ حتی اگر هیچ بیت‌کوینی برای باز کردن کانال خرج نشده باشد.
این حمله همچنان به ترافیک شبکه و منابع محاسباتی نیاز داشت. بنابراین، موضوع صرفاً ارسال یک پیام منفرد نیست، اما مهاجم برای تحمیل این بار، به تأمین مالی کانال روی زنجیره اصلی نیاز نداشت.
چرا راه‌اندازی دوباره کافی نبود؟
در آزمایش اثبات مفهوم کاستاری، Eclair نسخه 0.14.0 در محیط regtest، یعنی محیط آزمایشی محلی بیت‌کوین، اجرا شد. در این آزمایش، پس از حدود 47 دقیقه و 43 ثانیه، حافظه هیپ ماشین مجازی جاوا با ظرفیت 4 گیگابایت پر شد. در همان زمان، 217,623 رکورد در پایگاه‌داده کانال ثبت شده بود.
این عدد و مدت زمان، نتیجه یک آزمایش در محیط مشخص است و نباید به‌عنوان زمان ثابت یا universal برای همه حملات در نظر گرفته شود. اهمیت اصلی یافته در مرحله بعدی بود: رکوردهای ایجادشده پیش از خرابی، روی دیسک باقی می‌ماندند. هنگام راه‌اندازی مجدد، Eclair آن‌ها را دوباره بارگذاری می‌کرد و حافظه بار دیگر تمام می‌شد.
در چنین وضعیتی، افزایش اندازه هیپ یا حذف دستی رکوردهای جعلی می‌تواند به‌عنوان راهکار بازیابی مطرح شود. اما راه‌اندازی‌های متوالی، بدون برطرف کردن داده‌های انباشته‌شده، الزاماً مشکل را حل نمی‌کند. این سناریو به در دسترس بودن یک نود مربوط است و منبع، وقوع بهره‌برداری گسترده یا تعداد نودهای اصلاح‌نشده را تأیید نکرده است.
اصلاحات Eclair و تفاوت نقص‌ها
ACINQ، توسعه‌دهنده و نگهدارنده Eclair، اصلاح مربوط به بررسی‌های تکراری کانال را در قالب PR شماره 3324 در 17 ژوئیه ادغام کرد. نسخه 0.14.1 نیز در 29 ژوئیه منتشر شد و هر دو نقص منع سرویس مورد اشاره، در این نسخه اصلاح شدند. طبق توضیحات کاستاری و Delving Bitcoin، نسخه 0.14.1 یا بالاتر این دو مشکل را برطرف می‌کند.
در گزارش‌های مرتبط، یک نقص جداگانه در زمان باز شدن کانال نیز مطرح شده است. این مشکل می‌توانست فرایندهای بدون کانال را ایجاد کند که حافظه یا توان پردازشی مصرف می‌کردند، اما طبق آزمایش انجام‌شده، نود پس از قطع اتصال یا راه‌اندازی مجدد بازیابی می‌شد. این نتیجه به نقص مربوط به رقابت در باز کردن کانال تعلق دارد و نباید با حمله‌ای که رکوردهای پایدار پایگاه‌داده را انباشته می‌کند، یکی دانسته شود.
با وجود اصلاح نسخه 0.14.1، ACINQ اکنون نسخه 0.14.3 را توصیه می‌کند. این نسخه در 14 سپتامبر منتشر شده و برای آسیب‌پذیری‌های جداگانه‌ای عرضه شده است که می‌توانستند در برخی شرایط توسط نودهای مخرب مورد سوءاستفاده قرار گیرند. بنابراین، رسیدن به حداقل نسخه 0.14.1 به معنای کامل بودن توصیه امنیتی فعلی Eclair نیست؛ همچنین جلوگیری از ایجاد سیلاب جدید درخواست‌های تأمین‌نشده با بازیابی پایگاه‌داده‌ای که قبلاً بیش‌ازحد بزرگ شده، دو مسئله جداگانه هستند.
تصویر بازار طبق داده‌های Moneyiar
داده‌های بازار Moneyiar در ساعت 09:39 روز 3 اکتبر 2026 به وقت +03:30 نشان می‌دهد بیت‌کوین با قیمت 84,569.708439198 دلار معامله می‌شود. این رمزارز در 24 ساعت گذشته 2.04 درصد کاهش و در بازه هفت‌روزه 0.67 درصد افزایش داشته است.
در همین داده‌ها، قیمت Light یا LIGHT برابر با 0.1672899542 دلار ثبت شده و تغییر آن در 24 ساعت گذشته 1.73 درصد مثبت و در هفت روز گذشته 9.4 درصد منفی بوده است. FUNToken با نماد FUN در قیمت 0.0083495993 دلار قرار داشته؛ بازده 24 ساعته آن 1.29 درصد مثبت و تغییر هفت‌روزه آن 5.1 درصد مثبت بوده است. همچنین RedStone یا RED با قیمت 0.1682997367 دلار، در 24 ساعت 3 درصد کاهش و در هفت روز 0.66 درصد افت داشته است.
