สรุปข่าว
- Lightning Development Kit หรือ LDK ชุดเครื่องมือสำคัญสำหรับสร้างแอปพลิเคชันบน Bitcoin Lightning Network ออกอัปเดตเวอร์ชัน v0.2.6 เมื่อวันที่ 9 กันยายนที่ผ่านมา เพื่อปิดช่องโหว่ความปลอดภัยระดับวิกฤต
- ช่องโหว่แรกเปิดทางให้คู่สัญญาฝั่งแฮกเกอร์ สามารถปั่นค่าธรรมเนียมในกระบวนการ Splice ให้สูงเกินจริง แล้วดึงเงินส่วนต่างเข้ากระเป๋าตัวเอง ส่วนอีกช่องโหว่ทำให้ระบบจัดการช่องทางชำระเงินค้าง จนโหนดใช้งานไม่ได้ หลังรีสตาร์ต
- ยังไม่มีรายงานความเสียหายจริงเกิดขึ้น แต่ทีมพัฒนาเร่งให้ผู้ให้บริการกระเป๋าเงิน และโครงสร้างพื้นฐานที่ใช้ LDK อัปเดตแพตช์โดยด่วน
แนวโน้มที่ส่งผลกระทบต่อราคา : Neutral
ช่องโหว่นี้กระทบต่อความเชื่อมั่นในเชิงเทคนิคของระบบ Lightning Network มากกว่าจะส่งผลโดยตรงต่อราคา Bitcoin เนื่องจากยังไม่มีการโจมตีเกิดขึ้นจริง และปัญหาถูกพบ พร้อมออกแพตช์แก้ไข ตลาดจึงไม่น่าจะตอบสนองรุนแรงต่อประเด็นนี้ในระยะสั้น
ทีมพัฒนา Lightning Development Kit ประกาศปล่อยอัปเดตเวอร์ชัน v0.2.6 เมื่อวันที่ 9 กันยายนที่ผ่านมา เพื่อแก้ไขช่องโหว่ความปลอดภัยระดับวิกฤต 2 จุด จุดหนึ่งเปิดโอกาสให้แฮกเกอร์แอบดึงเงินบางส่วนออกจากโหนดได้ ส่วนอีกจุดเป็นข้อผิดพลาดร้ายแรงที่ทำให้ระบบไม่สามารถโหลดสถานะช่องทางการชำระเงินที่บันทึกไว้กลับมาใช้งานได้ตามปกติ เนื่องจาก LDK เป็นองค์ประกอบหลักที่ถูกนำไปใช้อย่างแพร่หลายทั้งในแอปกระเป๋าเงินบนมือถือและโครงสร้างพื้นฐานระบบชำระเงิน
ช่องโหว่ Splice เปิดทางขโมยค่าธรรมเนียม
ปัญหาแรกเกี่ยวข้องกับฟังก์ชัน Splice กระบวนการที่โหนดใช้เติม หรือถอนเงินออกจากช่องทางการชำระเงินเดิม ตามปกติแล้วคู่สัญญาทั้งสองฝ่ายต้องแบ่งปันค่าธรรมเนียมร่วมกัน แต่ช่องโหว่นี้ เปิดช่องให้คู่สัญญาฝั่งแฮกเกอร์ ปั่นตัวเลขค่าธรรมเนียมให้สูงเกินจริง แล้วดึงส่วนต่างนั้นเข้ากระเป๋าตัวเองอย่างเนียน ๆ
ซึ่งผลกระทบจะเกิดขึ้นทันที เมื่อโหนดของเราเป็นฝ่ายเริ่มทำรายการ Splice ทีมพัฒนา LDK ยังไม่ได้เปิดเผยตัวเลขความเสียหายสูงสุดที่อาจเกิดขึ้นจากช่องโหว่นี้
ปัญหา Payment Hash ซ้ำ ทำระบบค้างหลังรีสตาร์ต
ช่องโหว่ที่สองเกิดจากการใช้รหัสอ้างอิง หรือ Payment Hash ซ้ำกันในสองรายการชำระเงิน หากโหนดทำรายการแรกสำเร็จ แล้วรับและปฏิเสธรายการปลอมที่ตามมาในทันที ระบบจัดการช่องทางหลักหรือ ChannelManager จะเกิดข้อผิดพลาด และไม่สามารถดึงข้อมูลกลับมาทำงานต่อได้ เมื่อมีการรีสตาร์ทโหนด ผลลัพธ์ที่ตามมาคือแอปกระเป๋าเงินค้าง เปิดใช้งานไม่ได้ตามปกติ กระทบโดยตรงต่อประสบการณ์ของผู้ใช้งานปลายทาง
ความรับผิดชอบตกอยู่ที่นักพัฒนาแอปพลิเคชัน
LDK ถูกออกแบบมาให้เป็นชุดเครื่องมือ ไม่ใช่แอปพลิเคชันสำเร็จรูป นักพัฒนาแต่ละรายต้องนำซอฟต์แวร์หลักไปติดตั้งและปรับแต่งเองตามระบบจัดเก็บข้อมูล กระเป๋าเงิน หรือการเชื่อมต่อเครือข่ายของตน ดังนั้นการแก้ไขช่องโหว่ให้ได้ผลจริง จึงไม่ได้จบแค่การออกแพตช์จากทีมกลาง แต่ขึ้นอยู่กับว่า ทีมพัฒนาแอปพลิเคชันต่าง ๆ จะนำเวอร์ชัน v0.2.6 ไปอัปเดตเข้ากับระบบของตนเร็วแค่ไหน ยิ่งล่าช้าเท่าไหร่ ความเสี่ยงที่ผู้ใช้งานปลายทางต้องแบกรับก็ยิ่งสูงขึ้นเท่านั้น
แถลงการณ์ล่าสุดยืนยันว่า ยังไม่พบรายงานความเสียหาย หรือการถูกโจมตีในระบบจริงแต่อย่างใด แต่ทีมพัฒนาระบุชัดว่า นี่คือวาระเร่งด่วนที่ผู้ดูแลระบบ และนักพัฒนาทุกฝ่ายต้องรีบดำเนินการ เพื่อปิดความเสี่ยง ก่อนที่จะมีใครค้นพบและใช้ประโยชน์จากช่องโหว่นี้ก่อน
ที่มา : cryptoslate
มุมมองผู้เขียน : การที่ตรวจพบและแก้ไขช่องโหว่ได้ก่อนจะเกิดความเสียหายจริง ถือเป็นสัญญาณที่ดีต่อระบบนิเวศ Lightning Network แต่สิ่งที่น่ากังวลยิ่งกว่าคือ ความล่าช้าในการนำแพตช์ไปใช้อัปเดตจริงของแต่ละแอปพลิเคชัน ผู้ใช้งานกระเป๋าเงินบน Lightning Network จึงควรคอยติดตาม และตรวจสอบว่า ผู้ให้บริการของตนได้อัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดแล้วหรือยัง เพื่อความปลอดภัยสูงสุดของเงินทุน
