ACINQ informó que lanzó Eclair 0.14.3 el 14 de septiembre para corregir tres vulnerabilidades en su implementación de Bitcoin Lightning, incluida una que podría permitir a un par malicioso de canal trasladar el saldo local de una víctima a comisiones de mineros durante un cierre cooperativo del canal.

Según la divulgación de ACINQ, el problema más grave afectaba los cierres cooperativos de canales. Una contraparte maliciosa podía proponer una comisión de cierre superior al saldo disponible de la víctima, lo que provocaba que todo el saldo local se pagara como comisiones de mineros. Eclair 0.14.3 ahora rechaza propuestas de comisiones por encima del máximo configurado.

ACINQ también corrigió una segunda falla vinculada al splicing, mediante la cual los fondos podían quedar bloqueados si un splice quedaba sin terminar. Un tercer problema involucraba el financiamiento sobre la marcha, donde una billetera maliciosa podía manipular el momento de los pagos. El software actualizado ahora verifica las comisiones de retransmisión y los márgenes de vencimiento antes de comprometer fondos, y añade un límite predeterminado para las comisiones de apertura de canales.

La compañía indicó que los operadores deberían actualizar para evitar la explotación. La información disponible no incluye una referencia formal de CVE ni una lista detallada de versiones afectadas más allá del lanzamiento de Eclair 0.14.3, y no hay un informe confirmado en el material proporcionado de que las fallas hayan sido explotadas activamente antes del parche.

Una investigación técnica independiente citada en el material de apoyo describe una debilidad relacionada de Eclair en la supervisión on-chain durante condiciones de cierre forzoso, en la que un nodo podía no detectar una preimagen revelada si solo rastreaba HTLC de su estado de compromiso local. Ese problema apunta a un desafío de seguridad más amplio para Lightning: la seguridad de los canales puede depender de cómo las implementaciones manejan estados de compromiso antiguos pero aún válidos, actualizaciones de comisiones y casos límite de liquidación on-chain.

Por qué es importante

Este parche es importante porque Eclair es software de infraestructura, y las fallas en la capa de gestión de canales pueden traducirse en pérdidas directas de fondos incluso cuando Bitcoin opera con normalidad. Para los usuarios de Lightning y los operadores de servicios, la noticia recuerda que la seguridad operativa depende no solo de la custodia y las claves, sino también de actualizaciones oportunas del cliente y de un manejo fiable de los escenarios de cierre.

También se suma a un patrón más amplio de implementaciones de Lightning que refuerzan sus defensas en torno a la lógica de comisiones y el comportamiento de los cierres forzosos de canales. A medida que más actividad depende de rieles de pago off-chain, los errores a nivel de implementación podrían atraer más atención de operadores, proveedores de billeteras y empresas de infraestructura que dependen de un comportamiento de liquidación predecible.