71% узлов Lightning так и не исправили уязвимости спустя год после патчей

Исследование от 21 октября показало: из 550 публичных LND-узлов, попавших в августовское предупреждение о безопасности (11 августа), 71% по-прежнему работали на уязвимых версиях ПО по состоянию на 13 октября. Обновились лишь около 10% узлов, а 108 перестали считаться активными.

LND — одна из реализаций программного обеспечения для узлов сети Lightning, которая обрабатывает платежи вне основного блокчейна Bitcoin. Патчи для шести уязвимостей, о которых предупредили в августе, появились еще в версии LND 0.19.0 — за 446 дней до публикации предупреждения.

Исследователь Сауrabh Kumar из Bitcoin Data Labs выяснил: крупнейшие волны обновлений в сети следовали не за предупреждениями о безопасности, а за релизами платформы Umbrel, которая упаковывает программное обеспечение для узлов Bitcoin. Три самые крупные волны затронули от 262 до 385 узлов, и как минимум 87% участников обновляли софт в течение 48 часов после релиза Umbrel. При этом сама платформа выпускала эти версии с задержкой от 19 до 41 дня после релизов LND.

По девяти раскрытиям уязвимостей LND исследователь не нашел статистически значимого ускорения перехода на безопасные версии после публикации предупреждений. Задержки касаются не только реакции на угрозы безопасности: узлы, работавшие на старых версиях при выходе LND 0.19–0.21, переходили на новые релизы в среднем за 88 дней.

Уязвимые релизы на момент августовского раскрытия составляли 14,9% активных LND-узлов, но контролировали лишь 6,4% канальной емкости сети — без учета одного крупного управляемого флота узлов. Kumar опубликовал код и агрегированные данные исследования вместе с препринтом.