Qué pasó
El 28 de agosto de 2026 el proyecto Core Lightning publicó
v26.06.7, una
versión de mantenimiento con "correcciones para vulnerabilidades reportadas de forma
responsable por varias fuentes". Los binarios firmados salieron. El código fuente no: las
notas de la versión dicen que "este período de embargo durará dos semanas" y que "el
código fuente no se publicará hasta que hayan pasado 14 días". Dos días antes, los
mantenedores habían pedido a quienes operan nodos
Lightning que actualizaran apenas apareciera la
versión, o que reiniciaran con la opción --offline mientras tanto, según consta en el
boletín Bitcoin Optech #420, que
además informó que no se conocía ninguna explotación activa.
Qué cambia
Un parche es una descripción del fallo. Publicar el diff junto al binario le dice a cualquier lector del repositorio exactamente qué comprobación faltaba y dónde, y en una red donde un nodo guarda fondos en canales con pares que pueden conectarse a él directamente, quienes mejor pueden aprovechar esa descripción son justamente los que ya están conectados. Las notas de la versión dan la razón sin rodeos: la demora "está diseñada para reducir las posibilidades de que posibles atacantes hagan ingeniería inversa de las correcciones y las exploten antes de que la red pueda actualizarse".
Es una desviación del funcionamiento habitual del proyecto, y se hace bajo presión de volumen. Las notas atribuyen la ola de reportes a un cambio en quién está mirando: "se están usando modelos de inteligencia artificial cada vez más capaces para identificar posibles vulnerabilidades en código abierto, lo que aumenta significativamente el volumen y el ritmo de los reportes de seguridad". La versión acredita a quince partes reportantes, entre ellas Project Loupe, cuyo análisis estático también encontró una condición de carrera en Bitcoin Core este mes.
Lo que hace tolerable un embargo así es que se puede comprobar después. Las compilaciones de Core Lightning son reproducibles, de modo que cuando el código se publique a mediados de septiembre cualquiera podrá compilarlo y confirmar que lo que sale coincide con el binario entregado en agosto. La confianza que se pide es temporal y vence en una fecha.
Qué no cambia
Nada en la publicación dice qué estaba mal. La gravedad, qué versiones estaban expuestas y si un nodo corriente era alcanzable por el fallo siguen sin conocerse fuera del proyecto, así que quien opera un nodo decide qué hacer sin los datos habituales.
--offline no es una corrección ni un apagado. Deja el nodo funcionando y observando la
cadena, de modo que todavía puede reaccionar al cierre de un canal, mientras se niega a
hablar con otros pares. Los pagos entrantes y salientes se detienen, y el enrutamiento
también. Ese es el intercambio que se ofrece por las dos semanas.
Esto es una implementación, no el protocolo. El mismo boletín recoge una publicación de seguridad aparte de Eclair, y la especificación de Lightning queda intacta. Una corrección en una implementación no dice nada sobre las demás, que es la forma habitual de estos episodios: véase el input de splice que LDK empezó a rechazar y la avalancha de gossip a la que LND puso un límite.
Contexto
Bitcoin Core publica sus vulnerabilidades corregidas después del hecho, con el razonamiento de que a nadie se le puede obligar a actualizar, así que quien no recibe información no puede juzgar si quedarse en una versión antigua es seguro. Core Lightning aplica la otra mitad de la misma práctica, la parte en que la divulgación coordinada retiene los detalles hasta que la corrección está en su lugar, y la extiende para cubrir también el código y no solo la explicación.
Ambas posturas aceptan un costo. Una le dice a los atacantes qué buscar en el momento en que llega la corrección. La otra pide a los usuarios ejecutar algo que todavía no pueden leer. Cuál costo vale la pena depende de con qué rapidez se puede esperar que una red actualice, y en una red Lightning de nodos siempre en línea que guardan fondos en canales, los mantenedores han juzgado que dos semanas de opacidad salen más baratas que dos semanas de un mapa público.