Bitcoin của bạn có an toàn trên Lightning không? Các nhà phát triển xác nhận có lỗ hổng thực sự, bản vá sẽ sớm ra mắt

Các nhà phát triển Core Lightning vừa xác nhận rằng một số lỗ hổng trong phần mềm mạng Lightning Network của Bitcoin là có thật. Nhóm phát triển sẽ phát hành bản cập nhật phần mềm đã vá lỗi trong vài ngày tới, tuy nhiên chi tiết kỹ thuật sẽ được giữ kín trong hai tuần.

Lightning giúp thực hiện các giao dịch Bitcoin giá trị nhỏ ngoài chuỗi chính thông qua các kênh giữa các node. Trước khi nhà điều hành cài đặt bản vá lỗi, số tiền trên các kênh này vẫn đang nằm sau một đoạn mã mà nhóm phát triển đã biết là có lỗ hổng.

Lỗ hổng Bitcoin Lightning Network xuất hiện sau làn sóng báo cáo AI

Core Lightning (CLN) là một trong những phiên bản chính của Lightning Network – lớp thanh toán của Bitcoin. Dự án này được hậu thuẫn bởi Blockstream, phần mềm CLN đã chạy trên mạng chính của Bitcoin từ năm 2018.

Vào ngày 13/08/2024, nhóm phát triển cho biết họ đã nhận được nhiều báo cáo về lỗ hổng do AI tạo ra từ nhiều nguồn khác nhau trong 10 ngày trước đó. Một nhóm nhỏ dự án gồm các lập trình viên và tình nguyện viên đã lọc ra những báo cáo thực sự có lỗi giữa rất nhiều thông tin gây nhiễu.

Một số báo cáo đã được xác nhận là chính xác. Điều này khiến quá trình khắc phục lỗi thông thường trở thành một lần phát hành bản vá bảo mật phối hợp, đồng thời nhóm quyết định không cập nhật bản vá một cách nhanh chóng như dự kiến ban đầu.

Hệ sinh thái hạ tầng của Bitcoin năm nay đã nhiều lần bị tấn công. Vào tháng 08/2024, BTCPay Server đã cảnh báo các nhà vận hành cập nhật phần mềm sau khi hacker lấy cắp tiền do lỗ hổng về xác thực. Một lỗ hổng nữa trên ví Coldcard cũng đã bị lộ vài ngày trước đó.

Lệnh giữ bí mật hai tuần có ý nghĩa gì đối với người dùng Bitcoin?

Việc giữ lại thông tin chi tiết là điều cần thiết. Nếu kẻ tấn công đọc được báo cáo lỗi, họ thường có thể phát triển công cụ tấn công trong vòng vài giờ. Vì vậy, nhóm phát triển sẽ phát hành bản cập nhật đã sửa lỗi trước, còn toàn bộ báo cáo chi tiết sẽ được công bố vào đầu tháng 09/2024.

Các bản cập nhật sẽ được ký xác thực bởi lập trình viên để đảm bảo mọi người bên ngoài có thể kiểm tra và đối chiếu giữa bản phát hành và mã nguồn. Những bản vá này xử lý phần lớn các lỗ hổng đã báo cáo, nhưng có thể chưa khắc phục được tất cả.

Người dùng Lightning thông thường gần như không thể tự bảo vệ mình. Thanh toán của họ vận chuyển qua các node do người khác điều hành nên tiến độ cập nhật sẽ phụ thuộc vào những nhà vận hành đó.

Những ai không nâng cấp lên bản mới vẫn có giải pháp tạm thời. Việc tắt node sẽ ngắt kết nối với các node khác nhưng daemon vẫn chạy. Daemon là chương trình chạy nền giúp node theo dõi blockchain và tự động phản ứng khi một kênh thanh toán bị đóng.

To be clear about what we are recommending: you do not need to shut your node down.Our advice is to upgrade. When the release lands, verify the signatures and install it, and do that promptly rather than eventually.–offline is the alternative for anyone who is not going to… https://t.co/rjq8Haz4pE

— Core Lightning ⚡️ (@Core_LN) August 27, 2026

Rủi ro tăng lên khi Lightning được tiếp cận bởi nhiều người hơn. Gần đây đã có các sản phẩm tích hợp Lightning lên ví tự quản lý trên di động và tính năng thanh toán trong ứng dụng chat, mở rộng thêm đối tượng có thể bị ảnh hưởng nếu xảy ra sự cố định tuyến.

CEO Blockstream là Adam Back đã dành phần lớn năm 2026 để tranh luận công khai về định hướng mở rộng Bitcoin. Tuy nhiên, những công việc lặng thầm như vá lỗi bảo mật lại ít thu hút sự chú ý.

Các node không cập nhật bản vá mà vẫn hoạt động trực tuyến sẽ phải đối mặt với những rủi ro mà đội ngũ phát triển đã biết, nhưng chưa công khai chi tiết. Lệnh giữ bí mật sẽ được dỡ bỏ vào đầu tháng 09/2024, giúp các nhà vận hành có thời gian cập nhật phần mềm trước khi công bố chi tiết kỹ thuật.