ACINQ informó que lanzó Eclair 0.14.3 el 14 de septiembre para corregir tres vulnerabilidades en su implementación de Bitcoin Lightning, incluida una que podía permitir a un par de canal malicioso convertir el saldo local de una víctima en comisiones de mineros durante un cierre cooperativo de canal.

Según la divulgación de ACINQ, el problema más grave afectaba los cierres cooperativos de canales. Una contraparte maliciosa podía proponer una comisión de cierre superior al saldo disponible de la víctima, lo que provocaba que todo el saldo local se pagara como comisiones de mineros. Eclair 0.14.3 ahora rechaza propuestas de comisiones por encima del máximo configurado.

ACINQ también corrigió una segunda falla vinculada al splicing, por la que los fondos podían quedar bloqueados si un splice quedaba sin finalizar. Un tercer problema involucraba la financiación sobre la marcha, donde una billetera maliciosa podía manipular el momento de los pagos. El software actualizado ahora verifica las comisiones de retransmisión y los márgenes de vencimiento antes de comprometer fondos, y añade un límite predeterminado para las comisiones de apertura de canales.

La empresa indicó que los operadores deberían actualizar para evitar la explotación. La información disponible no incluye una referencia formal de CVE ni una lista detallada de versiones afectadas más allá del lanzamiento de Eclair 0.14.3, y el material proporcionado no contiene informes confirmados de que las fallas hayan sido explotadas en la práctica antes del parche.

Investigación técnica independiente citada en el material de respaldo describe una debilidad relacionada de Eclair en el monitoreo on-chain durante condiciones de cierre forzoso, en la que un nodo podía no detectar una preimagen revelada si solo rastreaba HTLC de su estado local de compromiso. Este problema apunta a un desafío de seguridad más amplio para Lightning: la seguridad de los canales puede depender de cómo las implementaciones manejan estados de compromiso antiguos pero todavía válidos, actualizaciones de comisiones y casos límite de liquidación on-chain.

Por qué importa

Este parche importa porque Eclair es software de infraestructura, y las fallas en la capa de gestión de canales pueden traducirse en pérdidas directas de fondos incluso cuando Bitcoin opera con normalidad. Para los usuarios de Lightning y los operadores de servicios, la noticia recuerda que la seguridad operativa depende no solo de la custodia y las claves, sino también de actualizaciones oportunas del cliente y de una gestión confiable de los escenarios de cierre.

También se suma a un patrón más amplio de implementaciones de Lightning que refuerzan sus defensas en torno a la lógica de comisiones y el comportamiento de cierre forzoso de canales. A medida que más actividad depende de rieles de pago off-chain, los errores a nivel de implementación pueden atraer más atención de operadores, proveedores de billeteras y empresas de infraestructura que dependen de un comportamiento de liquidación predecible.