A equipe do Core Lightning, uma das principais implementações da Lightning Network do Bitcoin, publicou um aviso de segurança sobre uma possível falha em recursos experimentais do software. O comunicado, repercutido pela BitNotícias nesta quarta-feira (16), afirma que o problema pode impactar fundos de usuários e recomenda desativar imediatamente essas funcionalidades enquanto a apuração segue.
Nenhum detalhe técnico amplo foi divulgado no alerta. Não há, na cobertura disponível, confirmação de perdas nem estimativa pública de valores em risco. Também não foi aberta, de forma completa, qual módulo experimental está sob suspeita – postura típica de divulgação responsável, quando revelar o vetor antes da correção amplia a exposição dos operadores ainda não mitigados.
A recomendação prática é direta: quem ativou recursos experimentais no Core Lightning deve desligá-los agora. Não há prazo anunciado para o patch no material repercutido nesta quarta.
O que é o Core Lightning – e o que não é
O Core Lightning (CLN) é mantido pela Blockstream e figura entre as três implementações mais usadas do protocolo Lightning, ao lado de LND e Eclair. Cada uma opera como software independente, seguindo a especificação BOLT. Isso limita o alcance do problema: um nó que roda LND ou Eclair não herda automaticamente uma falha exclusiva do CLN. A fragmentação, porém, obriga operadores e empresas de infraestrutura a acompanhar avisos de múltiplas equipes.
Recursos experimentais no Core Lightning costumam vir desativados por padrão e exigem ativação manual na configuração. O universo potencialmente exposto tende a concentrar operadores avançados, desenvolvedores e serviços que testam funções antes da versão estável. Usuários de carteiras custodiais que apenas usam Lightning por trás de um aplicativo, sem gerenciar o nó, não administram esses flags.
Vale a distinção com a rede Liquid e com incidentes recentes de pontes e sidechains. O alerta desta semana diz respeito à implementação Lightning do CLN, não a um ataque à Liquid Network nem ao resgate de BTC remanescentes em sidechain. São camadas e bases de código diferentes, ainda que a Blockstream apareça no ecossistema de ambas.
Segundo alerta em poucas semanas
O aviso de meados de setembro chega após outra rodada de correções de segurança no fim de agosto. Em 28 de agosto, o blog oficial da Blockstream orientou todos os operadores a atualizar para a versão 26.06.7, um point release que corrige vulnerabilidades confirmadas reportadas nas três semanas anteriores. Releases anteriores a 26.06.7 passaram a ser consideradas sem suporte.
Na mesma nota oficial, a equipe recomendou, para quem ainda não pudesse atualizar, reiniciar o nó com a flag --offline: o demônio continua acompanhando a chain para detectar trapaças, mas corta a superfície de ataque via mensagens de peers. O código-fonte detalhado da correção ficou sob embargo por duas semanas e só foi publicado em 11 de setembro, para dar tempo de os operadores atualizarem antes que o patch pudesse ser engenheirado de forma adversa.
O novo alerta sobre recursos experimentais, portanto, não substitui a recomendação de estar em 26.06.7: soma uma camada de cautela para quem habilita funcionalidades fora do caminho estável padrão.
Risco real, impacto de preço limitado
Canais Lightning custodian saldos bilaterais em BTC. Uma falha em software de nó pode, em tese, afetar fundos nos canais daquele operador. Ao mesmo tempo, a Lightning não concentra liquidez em um contrato coletivo único como certas pontes cross-chain: o dano tende a ficar restrito aos canais do nó afetado, o que reduz o potencial de perda sistêmica sem eliminar o risco individual.
O mercado de preço do bitcoin não reagiu de forma específica ao aviso. Na manhã desta quarta, a BitNotícias citava o BTC perto de US$ 75.865 (cerca de R$ 390.795), com recuo de 1,4% em 24 horas, movimento alinhado à pressão macro e regulatória mais ampla da sessão, e não a um choque técnico da Lightning. Historicamente, incidentes em implementações de segunda camada raramente deslocam a cotação à vista na mesma escala de fluxos institucionais ou decisões de política.
Para operadores de roteamento, desligar módulos experimentais pode ter custo: fechar ou reconfigurar canais, interromper rotas e perder receita de taxas durante a janela de investigação. Em produção, a decisão não é trivial – mas a orientação pública da equipe prioriza a preservação de fundos sobre a continuidade de features ainda não estabilizadas.
O que fazer agora
Quem roda Core Lightning deve: (1) confirmar que está na 26.06.7 ou superior, conforme o boletim oficial de 28 de agosto; (2) desativar imediatamente quaisquer flags experimentais habilitadas, conforme o alerta de meados de setembro; (3) acompanhar os canais oficiais do projeto (@Core_LN / blog Blockstream) para o patch e o relatório técnico. Relatos de segurança podem ser enviados a security@blockstream.com, segundo a página oficial do projeto.
Em resumo: o Core Lightning investiga uma falha ligada a recursos experimentais e pede desligamento imediato dessas funções. A base do Bitcoin segue operando normalmente; o risco está no software de segunda camada de quem ativou features ainda em teste.
