En anden fejl tog kort en del af Lightning-netværket

Nedenstående er et direkte uddrag af Marty's Bent Udgave #1278: "En anden LND/btcd-fejl dukker op." Tilmeld dig nyhedsbrevet her.

For anden gang på mindre end en måned blev btcd (en alternativ implementering af Bitcoin) og i forlængelse heraf LND (en af ​​Lightning-implementeringerne) inkompatible med resten af ​​Bitcoin-netværket på grund af indblanding fra en udvikler ved navn Burak.

Oktober 9, gennemførte Burak en 998-0f-999 tapscript multisig-transaktion, som btcd anerkendte som ugyldig, mens Bitcoin Core og andre implementeringer (korrekt) anerkendte den som gyldig. Da LND's implementering af Lightning-netværket afhænger af btcd, blev det inkompatibelt med resten af ​​Lightning-netværket, hvilket forstyrrede alle deres brugeres evne til at handle sikkert. Ikke ideelt.

Spol frem til i går, og Burak var tilbage igen for at forstyrre btcd og LND med den type transaktion, du ser ovenfor: et P2TR-udgifter (pay-to-tapoot) indeholdende N OP_SUCCESSx med 500,001 push, hvilket overskrider grænsen hårdkodet i btcd. Mens 998-af-999 tapscript multisig-transaktionen så ud til at være en ærlig fejltagelse, var gårsdagens transaktion en åbenlys udnyttelse i naturen af ​​Burak.

Noget at bemærke ved denne OP_SUCCESSx transaktion er, at den typisk ikke ville være inkluderet i en blok. Det ser dog ud til, at Burak bestikkede minearbejdere ved at knytte et særligt højt gebyr til denne transaktion, som F2Pool ikke kunne modstå.

Denne situation har givet anledning til megen debat i løbet af de sidste to dage. Var Burak forkert i at udnytte denne fejl i naturen på mainnet? Burde han korrekt have afsløret sårbarheden over for btcd og LND privat, så de kunne patche koden, før fejlen blev udnyttet i naturen? Skal LND være afhængig af btcd, som er en alternativ implementering af Bitcoin, der ikke kommer nær så tæt på mængden af ​​opmærksomhed og anmeldelse, som Bitcoin Core modtager?

Din onkel Marty har bestemt ikke de rigtige svar på alle disse spørgsmål, men det er vigtigt for jer freaks at være opmærksomme på det her, så jeg tænkte, at jeg ville gøre jer opmærksom på dem.

Dette er karakteren af ​​distribuerede open source-systemer. Der kan være mange sårbarheder, der lurer derude, og der er ingen klar måde at håndtere problemerne på. Mange vil gå ind for ansvarlige afsløringer privat, mens andre vil gå ind for åbenlyse modstridende handlinger, der tvinger problemet frem. Dette er en af ​​de afvejninger, du vælger, når du beslutter dig for at tilmelde dig et pengenetværk på et frit marked.