Lightning은 공격이 보고된 후 비트코인 인출이 미지급된 것처럼 보이도록 송장 규칙을 강화했습니다.

본문

Lightning의 BOLT11 변경 사항은 충돌하는 결제 해시와 연결된 비트코인 ​​지급 악용이 보고된 후 누락되거나 반복되는 송장 필드를 거부합니다. BOLT11에는 이제 하나의 결제 해시와 하나의 결제 비밀이 필요하며 운영자는 소프트웨어가 인출을 기록하는 방법을 확인해야 합니다. 라이트닝 개발자들은 10월 19일 라이트닝 네트워크의 송장 표준인 BOLT11을 강화하여 소프트웨어가 모호한 결제 해시 및 결제 비밀 필드를 거부하도록 요구했습니다. 이러한 변경은 완료된 비트코인 ​​인출이 미지급된 것처럼 보이게 만드는 공격에 대한 개발자의 계정에 따른 것입니다. 제안서에 대한 10일 성명서에서 개발자 Roasbeef는 다양한 해시를 선택하는 라이브러리를 악용하는 Telegram P2P 봇의 최근 해킹을 보고했습니다. 일부는 청구서의 첫 번째 지불 해시 필드를 가져갔고 다른 일부는 마지막을 가져갔습니다.

그러면 서비스는 완료된 인출을 미지급 인출로 착각하여 추가 지급을 위한 기회를 만들 수 있습니다. 이 규칙은 두 가지 모호함을 모두 다루고 있으며 설명된 출금 공격은 충돌하는 지불 해시와 관련되어 있습니다. 제안서의 유효하지 않은 테스트 사례에는 동일한 해시를 반복하는 송장과 별개의 해시를 포함하는 송장이 포함됩니다. 따라서 동일한 값을 단일 값으로 축소하면 규칙에 따라 독자가 거부해야 하는 송장이 누락됩니다. 라이트닝 노드 소프트웨어는 9월에 중복 해시 거부를 병합했습니다. 더 광범위한 지불 비밀 확인은 10월 현재 공개된 별도의 제안으로 해결됩니다.