نرم‌افزار Eclair که برای اجرای نودهای شبکه لایتنینگ بیت‌کوین استفاده می‌شود، نسخه جدیدی با شماره v0.14.4 منتشر کرده است که یک مسیر حمله امنیتی را مسدود می‌کند. این آسیب‌پذیری می‌توانست به یک وب‌سایت مخرب اجازه دهد از طریق مرورگر کاربر، فرمان‌های احراز هویت‌شده‌ای را به نود لایتنینگ ارسال کند؛ فرمان‌هایی که در شرایط خاص امکان مدیریت کانال‌های پرداخت یا ارسال و دریافت بیت‌کوین را فراهم می‌کنند.

این به‌روزرسانی در ۱۵ اکتبر ۲۰۲۶ منتشر شد. طبق گزارش CryptoSlate، خطر اصلی زمانی ایجاد می‌شد که رابط برنامه‌نویسی نود فعال و از طریق مرورگر قابل دسترسی بود و مرورگر نیز اطلاعات ورود موردنیاز را از قبل ذخیره کرده بود.

حمله چگونه انجام می‌شد؟

Eclair یک رابط برنامه‌نویسی یا API دارد که نرم‌افزارهای دیگر از طریق آن می‌توانند با نود ارتباط برقرار کنند. این رابط امکان مشاهده وضعیت نود، باز و بسته کردن کانال‌های پرداخت و انجام تراکنش‌های لایتنینگ را فراهم می‌کند.

مشکل زمانی به وجود می‌آمد که کاربر قبلاً از طریق مرورگر وارد این API شده و اطلاعات احراز هویت HTTP Basic در مرورگر ذخیره شده بود. در چنین شرایطی، یک صفحه وب مخرب می‌توانست فرمی ایجاد کند که مرورگر آن را به API نود ارسال کند.

از آنجا که مرورگر ممکن بود اطلاعات ورود ذخیره‌شده را به‌صورت خودکار همراه درخواست بفرستد، فرمان می‌توانست بدون اطلاع آگاهانه کاربر اجرا شود. مهاجم لزوماً قادر نبود پاسخ API را بخواند، اما همین محدودیت مانع اجرای فرمان ارسالی نمی‌شد. 

نسخه جدید Eclair چه تغییری ایجاد کرده است؟

نسخه v0.14.4 درخواست‌های API دارای سربرگ Origin را با پاسخ خطای HTTP 403 رد می‌کند؛ این بررسی پیش از اجرای مسیر مربوط به API انجام می‌شود.

مرورگرها معمولاً این سربرگ را هنگام ارسال درخواست‌های وب اضافه می‌کنند. بنابراین، این تغییر مسیر حمله‌ای را می‌بندد که در آن یک وب‌سایت می‌توانست از اعتبارنامه‌های ذخیره‌شده مرورگر برای ارسال فرمان به نود استفاده کند.

اما این تغییر یک پیامد جانبی هم دارد: رابط‌های کاربری تحت وب که پیش‌تر مستقیماً به API نود متصل می‌شدند، حتی اگر از همان مبدأ میزبانی شوند، ممکن است دیگر کار نکنند. برای ادامه فعالیت، چنین رابط‌هایی باید یک بک‌اند واسط داشته باشند تا درخواست‌ها را به شکل مناسب به نود ارسال کنند.

آیا همه کاربران Eclair در معرض خطر بودند؟

خیر. طبق توضیحات منتشرشده، وجود این آسیب‌پذیری به چند شرط وابسته بود: API باید فعال و از طریق مرورگر قابل دسترسی می‌بود و مرورگر نیز اطلاعات احراز هویت لازم را ذخیره کرده بود.

همچنین، بررسی سربرگ Origin به‌تنهایی جایگزین احراز هویت یا محدودسازی دسترسی شبکه نیست؛ زیرا برنامه‌های غیرمرورگری می‌توانند درخواست‌هایی بدون این سربرگ ارسال کنند.

توسعه‌دهندگان توصیه می‌کنند API نود روی آدرس محلی یا loopback محدود بماند تا از شبکه بیرونی قابل دسترسی نباشد. ابزارهای خط فرمان مانند curl و eclair-cli که به‌طور معمول سربرگ Origin مرورگر را ارسال نمی‌کنند، تحت تأثیر این محدودیت قرار نمی‌گیرند.

اپراتورهای نود چه کاری باید انجام دهند؟

اپراتورهایی که از Eclair استفاده می‌کنند، باید نسخه نصب‌شده خود را بررسی و در صورت نیاز به نسخه v0.14.4 ارتقا دهند. طبق اعلام توسعه‌دهندگان، می‌توان نود را متوقف کرد، نسخه جدید را نصب کرد و دوباره راه‌اندازی کرد؛ بدون آنکه لازم باشد کانال‌های فعال لایتنینگ بسته شوند.

همچنین توصیه می‌شود:

• API فقط در صورت نیاز فعال باشد.

• دسترسی API از طریق شبکه عمومی امکان‌پذیر نباشد.

• اطلاعات احراز هویت قوی و منحصربه‌فرد باشند.

• رابط‌های تحت وب از طریق بک‌اند امن به نود متصل شوند.

• به‌روزرسانی‌های امنیتی نرم‌افزار به‌موقع نصب شوند.

جمع‌بندی

این آسیب‌پذیری نشان می‌دهد که حتی اگر کلیدهای خصوصی بیت‌کوین مستقیماً در اختیار یک وب‌سایت قرار نگیرند، دسترسی به API یک نود می‌تواند خطرناک باشد. مرورگرِ دارای اطلاعات ورود ذخیره‌شده ممکن است ناخواسته به واسطه‌ای برای اجرای فرمان‌های حساس تبدیل شود.

به‌روزرسانی Eclair این مسیر حمله را مسدود می‌کند، اما امنیت نود همچنان به احراز هویت صحیح، محدودسازی دسترسی شبکه و پیکربندی مناسب وابسته است.