Core Lightning-ontwikkelaars hebben bevestigd dat verschillende kwetsbaarheden in de Bitcoin Lightning Network-software echt zijn. Het team komt binnen enkele dagen met gepatchte software-updates, maar de technische details blijven twee weken geheim.
Lightning verplaatst kleine Bitcoin-betalingen weg van de hoofd-blockchain via kanalen tussen nodes. Totdat beheerders de update installeren, blijft het geld dat in deze kanalen staat achter code zitten waarvan het team al weet dat die gebreken heeft.
Bitcoin Lightning Network-kwetsbaarheid ontdekt na golf van AI-rapporten
Core Lightning (CLN) is een van de belangrijkste implementaties van het Lightning Network, de betaal-laag van Bitcoin. Blockstream ondersteunt het project en de software draait sinds 2018 op het Bitcoin-netwerk.
Op 13 augustus meldde het team dat het in de afgelopen 10 dagen een golf aan AI-gegenereerde kwetsbaarheidsrapporten had ontvangen uit verschillende bronnen. Een kleine groep ontwikkelaars en vrijwilligers heeft daarna de echte fouten van de ruis gescheiden.
Enkele rapporten bleken juist. Dat resultaat veranderde normaal onderhoudswerk in een gecoördineerde beveiligingsupdate, en het team liet zijn oorspronkelijke plan voor een snelle patch vervallen.
De Bitcoin-infrastructuur heeft dit jaar meerdere klappen gehad. In augustus waarschuwde BTCPay Server beheerders om te updaten nadat aanvallers geld van gebruikers hadden gestolen door een probleem met credentials. Enkele dagen eerder kwam er een Coldcard wallet-exploit naar buiten.
Wat het twee weken durende embargo betekent voor Bitcoin-gebruikers
Details achterhouden is het doel. Aanvallers die een openbaar bug-rapport lezen, kunnen vaak binnen enkele uren een exploit maken. Daarom brengt het team eerst de gepatchte software uit en volgt het volledige verhaal begin september.
De updates bevatten handtekeningen van ontwikkelaars die bevestigen dat de software klopt, zodat buitenstaanders kunnen nagaan dat de release overeenkomt met de broncode. De patches verhelpen veel van de gemelde kwetsbaarheden, maar niet allemaal.
Gewone Lightning-gebruikers hebben hier geen invloed op. Hun betalingen gaan via nodes die anderen beheren, dus de snelheid van de uitrol hangt af van deze beheerders.
Beheerders die niet upgraden, hebben een alternatief. Door een node offline te halen, verbreek je de verbindingen met andere nodes terwijl de daemon actief blijft. Een daemon is het achtergrondprogramma achter een node, dat de blockchain in de gaten houdt en reageert als een betaal-kanaal wordt gesloten.
De risico’s nemen toe naarmate Lightning meer mensen bereikt. Nieuwe producten brengen het netwerk nu naar self-custodial mobiele wallets en betaalfuncties in chatapps, waardoor meer gebruikers kwetsbaar zijn bij een routeerfout.
Blockstream CEO Adam Back is in 2026 vaak in het nieuws geweest vanwege discussies over de schaalbaarheid van Bitcoin. Stil onderhoudswerk als dit krijgt meestal minder aandacht.
Nodes die niet worden bijgewerkt en online blijven, brengen risico’s met zich mee die de ontwikkelaars als bekend omschrijven, maar waarvan ze nog geen details geven. Begin september eindigt het embargo, waardoor beheerders de kans krijgen om te updaten zonder dat de details openbaar zijn.
