В Lightning Terminal выявлена уязвимость, искажавшая статус платежей

Критическая уязвимость в Bitcoin Lightning Terminal

В старых версиях Bitcoin Lightning Terminal обнаружена серьёзная ошибка безопасности. Программа продолжала считать отменённые платежи выполненными, что могло привести к отправке товаров и услуг без фактической оплаты.

Техническая суть проблемы

Основная причина — несоответствие между записью счета и результатом платежа. Несмотря на возврат средств отправителю через HTLC (Hashed Time-Locked Contract), счет оставался отмеченным как оплаченный. Это связано с тем, что Lightning Terminal ошибочно воспринимал отменённые HTLC как активные платежи. В итоге продавцы могли отправлять товары, не получив денег.

Обнаружение и исправления

Компания Lightning Labs раскрыла уязвимость 21 сентября 2026 года. Исправления были выпущены в нескольких версиях: tapd-программа обновлена до v0.5.1 12 февраля 2025 года, lnd — до v0.19.0-beta 22 мая 2025 года. Версия Lightning Terminal v0.15.0-alpha устранила обе проблемы одновременно.

Последствия и текущая ситуация

Уязвимость оценена как высокоопасная, однако средства отправителей не подвергались риску. Точные данные о потерях и числе пострадавших пользователей не раскрываются. Lightning Labs рекомендует операторам терминала использовать параметр --taproot-assets-mode=disable для снижения рисков, связанных с устаревшими версиями и taproot-активами.

Влияние на пользователей и дальнейшие шаги

Ошибка могла подорвать доверие продавцов, поскольку неверная регистрация платежей грозила финансовыми потерями. Сейчас обновления минимизируют эти риски. Пользователям и операторам важно своевременно обновлять ПО и усиливать меры безопасности.

Выявление и устранение подобных уязвимостей жизненно важно для сохранения доверия к экосистеме цифровых валют.