LDK v0.2.7 แก้ช่องโหว่หลังเชื่อมต่อใหม่ พร้อมปรับการตรวจสอบ LSPS2

ไลบรารี LDK รุ่นเก่ามีช่องโหว่ที่อาจทำให้เงินสูญหาย หากโหนดคู่สัญญาในช่องทางชำระเงินอ้างว่าไม่ได้รับข้อความหลังเชื่อมต่อใหม่ ทีมพัฒนา LDK แก้ปัญหานี้ในรุ่น v0.2.7 และ v0.1.13 เมื่อวันที่ 1 ตุลาคม

เครือข่าย Lightning เป็นเทคโนโลยีขยายการใช้งานบิตคอยน์(BTC) ซึ่งประมวลผลธุรกรรมผ่านช่องทางชำระเงิน ส่วน LDK เป็นไลบรารีสำหรับพัฒนากระเป๋าเงินและแอปที่ใช้เครือข่ายนี้ เนื่องจากไลบรารีถูกนำไปรวมไว้ในแอปที่เผยแพร่ นักพัฒนาจึงต้องตรวจสอบด้วยว่าเวอร์ชันที่อัปเดตและโค้ดที่แก้ไขถูกนำไปใช้ในแอปจริงแล้ว

บันทึกการเปลี่ยนแปลงของ LDK ระบุว่า ช่องโหว่อาจเกิดขึ้นเมื่อโหนดคู่สัญญายืนยันการอัปเดตสถานะแล้วเชื่อมต่อใหม่ ก่อนอ้างว่าไม่ได้รับข้อความดังกล่าว ก่อนมีแพตช์ LDK อาจลงนามในธุรกรรม commitment ที่ขัดแย้งกันแต่ใช้ลำดับสถานะเดียวกันได้ ธุรกรรม commitment ใช้ชำระสถานะที่ทั้งสองฝ่ายตกลงกันของช่องทางบนบล็อกเชนบิตคอยน์

หากมีการใช้ช่องโหว่ โหนดที่ส่งต่อการชำระเงินอาจจ่ายเงินให้ผู้รับรายถัดไปแล้ว แต่ไม่สามารถเรียกเงินคืนจากผู้ส่งก่อนหน้าได้ บันทึกการเปลี่ยนแปลงของ LDK ระบุว่า รุ่นที่แก้ไขจะส่งข้อความซ้ำเฉพาะระหว่างรอการตอบรับ และบังคับปิดช่องทางเมื่อโหนดอ้างว่าไม่ได้รับการอัปเดตที่ยืนยันแล้ว ข้อมูลที่เผยแพร่ไม่ได้ระบุว่ามีการใช้ช่องโหว่นี้จริงหรือมีความเสียหายเป็นมูลค่าเท่าใด

ขอบเขตการแก้ไขของทั้งสองรุ่นไม่เหมือนกัน v0.2.7 แก้ทั้งช่องโหว่หลังเชื่อมต่อใหม่และปัญหาการตรวจสอบจำนวนเงินชำระของ LSPS2 ส่วน v0.1.13 ระบุการแก้ไขช่องโหว่หลังเชื่อมต่อใหม่ LSPS2 เป็นวิธีที่ผู้ให้บริการสภาพคล่องเปิดช่องทางระหว่างประมวลผลการชำระเงิน

บันทึกการเปลี่ยนแปลงของ LDK ระบุว่า ไคลเอนต์ที่มุ่งร้ายอาจหลอกให้ระบบเข้าใจว่าจำนวนเงินที่ส่งต่อสูงกว่ายอดที่ผู้รับได้รับจริง ทำให้ผู้ให้บริการนำบิตคอยน์ไปใช้เปิดช่องทางและส่งต่อมากกว่ายอดที่ได้รับ ด้วยเหตุนี้ ผู้ให้บริการ LSPS2 ควรตรวจสอบสัญญาการชำระเงินที่อยู่ในคิวจากรุ่นก่อนควบคู่กับการอัปเดตไลบรารี บันทึกดังกล่าวระบุว่า สัญญาที่สร้างจากรุ่นเดิมและยังรอดำเนินการอาจมีจำนวนเงินที่ยังไม่ได้ตรวจสอบ และ v0.2.7 มีการแก้ไขที่เกี่ยวข้องรวมอยู่ด้วย

การอัปเดตครั้งนี้เป็นการแก้ไขด้านความปลอดภัยต่อจาก รายงานของ TokenPost เกี่ยวกับปัญหาการสูญเสียเงินจากการ splice และข้อผิดพลาดในการประมวลผลการชำระเงินใน LDK v0.2.6 นักพัฒนาแอปควรตรวจสอบเวอร์ชัน LDK ที่ใช้งาน โค้ดที่ติดตั้งจริง และสัญญา LSPS2 ที่ยังอยู่ในคิว