Les développeurs de Core Lightning ont confirmé que plusieurs vulnérabilités dans le logiciel du réseau Lightning de Bitcoin sont réelles. L'équipe publiera des mises à jour logicielles corrigées dans les jours qui viennent, mais les détails techniques resteront secrets pendant deux semaines.
Lightning déplace de petits paiements en Bitcoin hors de la blockchain principale via des canaux entre les nœuds. Tant que les opérateurs n'installent pas le correctif, l'argent stationné dans ces canaux reste derrière un code que l'équipe sait déjà défectueux.
Une vulnérabilité du réseau Lightning de Bitcoin a émergé d'un flot de rapports générés par l'IA
Core Lightning (CLN) est l'une des principales implémentations du réseau Lightning, la couche de paiement de Bitcoin. Blockstream soutient le projet, et le logiciel fonctionne sur le réseau principal de Bitcoin depuis 2018.
Le 13 août, l'équipe a déclaré avoir reçu une vague de rapports de vulnérabilité générés par l'IA provenant de plusieurs sources au cours des 10 jours précédents. Un petit groupe de développeurs et de bénévoles a ensuite trié les véritables bogues du bruit.
Plusieurs rapports se sont révélés valides. Ce résultat a transformé un nettoyage de routine en une publication de sécurité coordonnée, et l'équipe a abandonné son plan initial pour une mise à jour rapide.
L'infrastructure Bitcoin a subi des coups répétés cette année. En août, BTCPay Server a averti les opérateurs de mettre à jour après que des attaquants ont vidé les fonds des utilisateurs par le biais d'une faille d'identification. Une exploitation de portefeuille Coldcard avait émergé quelques jours plus tôt.
Ce que l'embargo de deux semaines signifie pour les utilisateurs de Bitcoin
Le fait de retenir des détails est essentiel. Les attaquants qui lisent un rapport de bogue public peuvent souvent construire un exploit fonctionnel en quelques heures. Par conséquent, l'équipe expédie d'abord le logiciel corrigé et publie le compte rendu complet début septembre.
Les mises à jour portent des signatures de développeur confirmant la reproductibilité, afin que les personnes extérieures puissent vérifier que la version correspond au code source. Les corrections couvrent de nombreux défauts signalés, bien que pas tous.
Les utilisateurs ordinaires de Lightning n'ont aucun levier ici. Leurs paiements passent par des nœuds gérés par d'autres personnes, donc le rythme du déploiement dépend de ces opérateurs.
Les opérateurs qui sautent la mise à niveau ont une solution de repli. Mettre un nœud hors ligne coupe ses liens avec d'autres nœuds tout en laissant le démon actif. Un démon est le programme en arrière-plan derrière un nœud, surveillant la blockchain et réagissant lorsque un canal de paiement se ferme.
Les enjeux augmentent à mesure que Lightning atteint plus de personnes. Les produits récents l'ont poussé dans des portefeuilles mobiles auto-gérés et des outils de paiement d'applications de chat, ce qui élargit le groupe exposé à un échec de routage.
Le directeur général de Blockstream, Adam Back, a passé une grande partie de 2026 dans des combats publics sur la direction de l'évolutivité de Bitcoin. Un travail de maintenance discret comme celui-ci attire rarement le même public.
Les nœuds laissés non corrigés et en ligne présentent des risques que les développeurs décrivent comme connus mais ne détailleront pas encore. L'embargo sera levé début septembre, ce qui donne aux opérateurs une voie claire pour mettre à jour pendant que les détails restent hors de portée.
Source : BeInCrypto
