Studie: 71 % der markierten Bitcoin-Lightning-Nodes nutzen weiterhin anfällige Software
Fast drei Viertel der gefährdeten Bitcoin-Lightning-Nodes liefen Monate nach einer Sicherheitswarnung noch immer auf betroffener Software. Dies verdeutlicht die weit verbreiteten Verzögerungen beim Einspielen von Sicherheitsupdates im Zahlungsnetzwerk.
Die meisten öffentlichen Bitcoin-Lightning-Nodes, die im Zuge einer Sicherheitswarnung im August erfasst wurden, haben ihre Software auch Monate später nicht aktualisiert. Das geht aus einer Untersuchung von Saurabh Kumar von Bitcoin Data Labs hervor.
Die Studie vom 21. Oktober verfolgte 550 öffentliche LND-Nodes, die im Rahmen einer Offenlegung am 11. August identifiziert worden waren. Bis zum 13. Oktober liefen 71 % dieser Nodes noch immer auf betroffenen Versionsreihen, während lediglich rund 10 % ein Update durchgeführt hatten und 108 Nodes das Netzwerk verlassen hatten.
Die Verzögerung beim Patchen tritt auf, obwohl Fehlerbehebungen bereits lange vor den öffentlichen Warnungen verfügbar waren. Patches für sechs im August hervorgehobene Schwachstellen waren bereits in LND-Version 0.19.0 enthalten – rund 446 Tage vor der öffentlichen Bekanntgabe.
Sicherheitswarnungen allein brachten die Betreiber nicht dazu, Updates einzuspielen. Über neun separate Offenlegungen von Schwachstellen hinweg beobachtete Kumar keine messbare Beschleunigung bei Nodes, die anfällige Versionen verließen. Dies zeigt, dass öffentliche Warnungen kaum direkten Einfluss auf das Update-Verhalten hatten.
Stattdessen reagierten die Node-Betreiber, wenn Bereitstellungsplattformen neue Builds herausbrachten. Ein Anstieg der Aktualisierungen folgte den Veröffentlichungen von Umbrel, einer Plattform für Node-Softwarepakete: In drei separaten Wellen von 262 bis 385 Nodes übermittelten mindestens 87 % innerhalb von 48 Stunden aktualisierte Funktionen.
Dennoch stellte Umbrel diese Builds erst zwischen 19 und 41 Tagen nach den vorgelagerten LND-Updates bereit, was zu einer zusätzlichen Verzögerung führte, bevor die Fixes die Node-Betreiber erreichten. Die Studie konnte nicht feststellen, welche Plattformen einzelne Nodes nutzten, sodass die genaue Rolle automatisierter Updates unbestätigt bleibt.
Langsame Rollouts scheinen im gesamten Netzwerk der Standard zu sein, ungeachtet von Sicherheitswarnungen. Nodes mit älterer Software benötigten über die LND-Versionen 0.19 bis 0.21 hinweg einen geschätzten Median von 88 Tagen, um auf neuere Versionsreihen zu migrieren.
Obwohl viele Nodes ungepatcht blieben, war ihr Einfluss auf die Gesamtliquidität des Netzwerks begrenzt. Die betroffenen Softwarereihen machten während der Warnung im August 14,9 % der aktiven LND-Nodes aus, hielten jedoch – abgesehen von einer identifizierten verwalteten Flotte – nur 6,4 % der gesamten Kanalkapazität.
Die Untersuchung wertete 814 tägliche Snapshots des öffentlichen Lightning-Graphen aus und leitete die Versionsreihen aus den angekündigten Feature-Bits ab. Kumar merkte an, dass diese Methode keine exakten Patch-Versionen erkennen kann. Das bedeutet, dass Nodes, die Patches ohne entsprechende Ankündigungen eingespielt haben, möglicherweise weiterhin als gefährdet erscheinen. Das tatsächliche Risiko hängt zudem von den spezifischen Node-Konfigurationen und Schwachstellendetails ab.
Risikohinweis: Dieser Artikel ist keine Anlageberatung. Kryptowerte sind hochvolatil; ein Totalverlust ist möglich.
