Core Lightning, una delle implementazioni piu’ usate del Lightning Network (la rete di pagamenti istantanei costruita “sopra” Bitcoin) ha chiesto ai gestori dei nodi di spegnerli o aggiornarli con urgenza dopo aver individuato piu’ vulnerabilita’ critiche. Il team, mantenuto da Blockstream, non ha pubblicato dettagli tecnici ne’ un CVE: la correzione resta sotto embargo per due settimane per evitare che gli attaccanti sfruttino la falla prima che i nodi si aggiornino. La vicenda arriva a pochi giorni da un altro report di BitcoinLive24 sulla crescita della capacita’ della rete Lightning, e mostra quanto la sicurezza dell’infrastruttura resti un tema aperto anche mentre l’adozione sale.
Cosa e’ Successo a Core Lightning
Il team di Core Lightning (CLN) ha lanciato un primo avviso interno il 13 agosto 2026, promettendo una correzione “entro pochi giorni”. La promessa non e’ stata mantenuta nei tempi previsti e la notizia e’ diventata pubblica solo il 20 agosto, tramite uno screenshot di un messaggio Discord circolato tra sviluppatori — non attraverso un canale ufficiale, un dettaglio che ha attirato diverse critiche (fonte: The Defiant).
Il 26 agosto il team ha confermato ufficialmente piu’ vulnerabilita’ critiche e ha indicato due opzioni ai gestori di nodi: aggiornare a binari firmati attesi entro circa 48 ore, oppure portare il nodo offline se non si intende aggiornare subito. Le versioni 26.04 e precedenti non sono coperte dalla risposta di sicurezza in corso. Al momento della stesura, la pagina ufficiale delle security advisory su GitHub di ElementsProject/lightning non riporta ancora alcun bollettino pubblico, a conferma che l’embargo e’ tuttora attivo.
Perche’ e’ Importante
Un aspetto insolito della vicenda e’ l’origine della scoperta: secondo piu’ testate, il team CLN ha ricevuto diverse segnalazioni generate con l’aiuto di strumenti di intelligenza artificiale nell’arco di dieci giorni, un fatto che sta alimentando il dibattito su quanto l’IA stia gia’ accelerando la ricerca di vulnerabilita’ nel software Bitcoin, in bene e in male. Non e’ la prima volta che un client Lightning affronta un’emergenza di sicurezza nel 2026: a inizio agosto era toccato a BTCPay Server, colpito da un exploit attivo che aveva svuotato i nodi di alcuni operatori prima ancora dell’avviso pubblico.
Per BitcoinLive24 la notizia conferma un pattern gia’ segnalato ieri: la rete Lightning sta crescendo rapidamente in capacita’ e utilizzo, ma la sua sicurezza operativa dipende ancora da team relativamente piccoli che gestiscono correzioni sotto pressione e con margini di comunicazione stretti.
Le Reazioni
Calle, sviluppatore del protocollo Cashu e figura nota nella comunita’ Bitcoin, e’ stato tra i primi a rilanciare pubblicamente l’allerta, definendo la vulnerabilita’ “critica” e invitando gli operatori a spegnere i nodi subito, senza aspettare istruzioni ufficiali aggiuntive. Diversi commentatori hanno criticato la scelta di comunicare inizialmente solo via Discord invece che con un canale verificabile, un problema di trasparenza che si ripete spesso quando un progetto open source deve gestire un embargo di sicurezza.
Il team CLN ha risposto che la scelta di non pubblicare dettagli tecnici serve proprio a proteggere gli operatori che non hanno ancora aggiornato, riducendo il rischio che i dettagli della falla vengano usati come mappa per un attacco prima della distribuzione della patch.
Cosa Aspettarsi
Il rilascio dei binari corretti e’ atteso entro pochi giorni dal 26 agosto, mentre la divulgazione tecnica completa della vulnerabilita’ arrivera’ solo dopo la fine dell’embargo di due settimane, intorno alla meta’ di settembre. La prossima release maggiore di Core Lightning, la v26.09, e’ prevista per fine settembre e dovrebbe incorporare le correzioni in modo permanente. Nel frattempo, la raccomandazione operativa resta semplice: aggiornare appena disponibile un binario firmato, oppure tenere il nodo offline.
La Rete Lightning in Numeri
| Metrica (rete Lightning, tutti i client) | Valore |
|---|---|
| Nodi pubblici | ~16.275 |
| Canali attivi | ~33.086 |
| Capacita’ totale | ~3.896 BTC (389,6 miliardi di sat) |
| Imbargo tecnico CLN | 14 giorni dal 26 agosto |
Dato di rete: mempool.space, snapshot 27 agosto 2026. Il team CLN non ha reso pubblico quanti nodi usino la versione vulnerabile.
Come gia’ raccontato da BitcoinLive24 nell’articolo sulla crescita della capacita’ della rete Lightning, la sicurezza dei nodi era gia’ un tema caldo questa settimana anche per il client Eclair. La vicenda si aggiunge inoltre al caso recente del bug su Coldcard, altro promemoria di quanto la custodia sicura di Bitcoin richieda attenzione costante da parte degli utenti, non solo dei team di sviluppo.
Per restare aggiornati in tempo reale su vulnerabilita’ e sviluppi dell’ecosistema Bitcoin, scarica l’app BitcoinLive24 e attiva le notifiche push.
FAQ
Cos’e’ Core Lightning?
Core Lightning (CLN) e’ una delle principali implementazioni software del Lightning Network, il protocollo di secondo livello che permette pagamenti Bitcoin istantanei e a basso costo. E’ mantenuta dal team di Blockstream.
Devo spegnere il mio nodo Lightning?
Se gestisci un nodo Core Lightning e non hai ancora installato l’ultimo binario firmato, il team consiglia di portarlo offline finche’ non aggiorni, per ridurre l’esposizione a un possibile exploit ancora non divulgato pubblicamente.
Quando sapremo di cosa si tratta esattamente?
I dettagli tecnici completi della vulnerabilita’ resteranno sotto embargo per due settimane dal 26 agosto 2026, quindi indicativamente fino alla meta’ di settembre, salvo proroghe comunicate dal team.
