Core Lightning डेवेलपर्स ने कन्फर्म किया है कि Bitcoin Lightning Network सॉफ़्टवेयर में कई कमजोरियां वाकई में हैं। टीम कुछ ही दिनों में पैच्ड सॉफ़्टवेयर अपडेट जारी करेगी, पर टेक्निकल डिटेल्स फिलहाल दो हफ्ते तक गुप्त रहेंगी।
Lightning नेटवर्क छोटे-छोटे Bitcoin पेमेंट्स को मुख्य ब्लॉकचेन से हटाकर नोड्स के बीच चैनल्स के जरिए ट्रांसफर करता है। जब तक ऑपरेटर्स नया फिक्स इंस्टॉल नहीं करते, तब तक इन चैनल्स में रखा पैसा उस कोड के पीछे रहता है जिसे टीम पहले से ही फ्लॉड मान चुकी है।
Bitcoin Lightning Network की Vulnerability, AI रिपोर्ट्स की बाढ़ से सामने आई
Core Lightning (CLN) Lightning Network का एक मुख्य implementation है, जो कि Bitcoin की पेमेंट लेयर है। Blockstream इस प्रोजेक्ट का समर्थन करता है, और यह सॉफ़्टवेयर 2018 से ही Bitcoin की मेन नेटवर्क पर चल रहा है।
13 अगस्त को, टीम ने बताया कि पिछले 10 दिनों में उन्हें अलग-अलग sources से AI जनरेटेड vulnerability रिपोर्ट्स का एक बड़ा वेव मिला। फिर कुछ डेवलपर्स और वॉलंटियर्स की एक छोटी सी टीम ने असली बग्स को फर्जी रिपोर्ट्स से अलग किया।
कई रिपोर्ट्स सही निकलीं। इसी वजह से नॉर्मल क्लीनअप एक coordinated security release में बदल गया, और टीम ने अपना पुराना फटाफट पैच अपडेट प्लान ड्रॉप कर दिया।
इस साल Bitcoin infrastructure पर कई बार अटैक हो चुके हैं। अगस्त में, BTCPay Server ने ऑपरेटर्स को चेतावनी दी कि यूज़र्स के फंड्स क्रेडेंशियल फ्लॉ के कारण चोरी हो सकते हैं। कुछ दिन पहले Coldcard wallet में भी एक exploit सामने आया था।
दो हफ्ते की Embargo का मतलब Bitcoin यूज़र्स के लिए
जानकारी छुपाना ही इसका मकसद है। अगर अटैकर्स को खामी की रिपोर्ट मिल जाए तो वे कुछ घंटों में एक्सप्लॉइट तैयार कर सकते हैं। इसलिए टीम पहले फिक्स्ड सॉफ्टवेयर रिलीज करती है, और पूरी डिटेल्स सितंबर की शुरुआत में पब्लिश की जाएंगी।
ये अपडेट्स डेवेलपर सिग्नेचर के साथ आती हैं, जिससे बाहरी लोग भी चेक कर सकते हैं कि रिलीज हुआ सॉफ़्टवेयर और सोर्स कोड मेल खाते हैं या नहीं। इस फिक्स में ज्यादातर रिपोर्टेड खामियां कवर हो जाती हैं, लेकिन सब नहीं।
आम Lightning यूज़र्स के पास यहां कोई कंट्रोल नहीं है। उनके पेमेंट्स उन नोड्स से गुजरते हैं जिन्हें दूसरे लोग ऑपरेट करते हैं, इसलिए अपडेट कितनी जल्दी आएगा यह उन्हीं ऑपरेटर्स पर निर्भर करता है।
अपग्रेड स्किप करने वाले ऑपरेटर्स के पास भी एक तरीका है। वे जिस नोड को ऑफ़लाइन ले जाते हैं, उसकी लिंक बाकी नोड्स से कट जाती है लेकिन डेमन चालू रहता है। डेमन एक बैकग्राउंड प्रोग्राम होता है, जो नोड के पीछे चलता है, ब्लॉकचेन को मॉनिटर करता है और चैनल बंद होने पर एक्शन लेता है।
To be clear about what we are recommending: you do not need to shut your node down.
Our advice is to upgrade. When the release lands, verify the signatures and install it, and do that promptly rather than eventually.
–offline is the alternative for anyone who is not going to… https://t.co/rjq8Haz4pE
— Core Lightning ⚡️ (@Core_LN) August 27, 2026
Core Lightning. Source: X
जैसे-जैसे Lightning और ज्यादा यूज़र्स तक पहुंचता है, रिस्क बढ़ता जाता है। हाल के प्रोडक्ट्स ने इसे सेल्फ-कस्टोडियल मोबाइल वॉलेट्स और चैट-ऐप पेमेंट टूल्स में ला दिया है, जिससे अब ज्यादा लोग रूटिंग फेलियर के खतरे में हैं।
Blockstream के CEO Adam Back ने 2026 का ज्यादा हिस्सा Bitcoin की स्केलिंग डायरेक्शन को लेकर पब्लिक बहसों में बिताया है। इस तरह की बेनाम रखरखाव की मेहनत आमतौर पर उतनी सुर्खियां नहीं बटोरती।
जो नोड्स बिना पैच किए और ऑनलाइन छोड़ दिए जाते हैं, उनमें कुछ जोखिम होते हैं जिन्हें डेवलपर्स जानते तो हैं, लेकिन फिलहाल उन्हें सार्वजनिक नहीं कर रहे हैं। यह एंबार्गो सितंबर की शुरुआत में हटेगा, जिससे ऑपरेटर्स के पास अपडेट करने का समय तो रहेगा, लेकिन इस दौरान डिटेल्स सभी की पहुंच से बाहर रहेंगी।