Core Lightning parchea un fallo que vaciaba canales de Bitcoin

Los nodos de Core Lightning que sigan sin actualizar están expuestos a un fallo que permite drenarles los canales de pago. La nota de la versión v26.06.10, publicada en el repositorio ElementsProject/lightning, añade comprobaciones sobre los canales y corrige el tratamiento de las órdenes remotas; los mantenedores piden además restringir y sustituir cualquier credencial de la que el operador no pueda dar cuenta. CryptoSlate recogió el aviso la madrugada del viernes 6 de noviembre. Llega en una semana fea para el mercado: el bitcoin cotiza a $75.441,00, a -40,2% de su máximo histórico de $126.080,00, y nuestra serie de los últimos 31 días va en -11,93%. Quien opera un nodo propio no puede esperar a que el precio se calme para actuar. El dinero en riesgo es el que está dentro de los canales abiertos, no el que duerme en una cartera fría.

Qué arregla la versión v26.06.10

Core Lightning es una de las implementaciones con las que se levanta un nodo de la red Lightning: el programa que abre los canales, actualiza su estado con cada pago y los cierra devolviendo los fondos a la cadena de Bitcoin. La versión publicada ahora mete comprobaciones adicionales sobre ese estado y toca el camino por el que un nodo acepta órdenes que no vienen de la máquina en la que corre.

Ese segundo detalle importa más de lo que parece. Casi nadie administra un nodo escribiendo en su teclado: se maneja a distancia, desde un panel, un móvil o un script, y el operador emite credenciales que autorizan esas órdenes. Si una de ellas acabó en un servidor que ya no se usa, en un portátil vendido o simplemente en un sitio que nadie recuerda, el consejo de los mantenedores es revocarla y emitir otra. Es un trabajo de inventario, poco agradecido y menos vistoso que pulsar «actualizar», pero es la mitad del aviso.

Por qué el riesgo está en el canal y no en la cadena

Un canal de Lightning es un depósito de dos firmas sobre la cadena de Bitcoin. Los dos extremos meten fondos, se reparten el saldo con cada pago y van firmando versiones nuevas del reparto; sólo la última vale, y la cadena no se entera de nada hasta que el canal se cierra. Esa es la gracia de la red: pagos instantáneos y baratos. Y ése es también su punto débil, porque el dinero de un canal está siempre caliente, conectado y disponible para firmar.

El fallo que corrige esta versión afecta a ese estado compartido. De ahí que la nota hable de comprobaciones de canal y que CryptoSlate lo describa como un problema que permite vaciarlos. El protocolo de Bitcoin no tiene nada que ver: los bitcoin que no están en un canal abierto, ni en una cartera conectada a un nodo con esta versión sin aplicar, no se ven afectados. Es un fallo de programa, no de red.

Quién tiene que actualizar y quién no

La lista corta es la de siempre: comercios que cobran por Lightning, procesadores de pago, servicios que enrutan y cualquier aficionado que se montó un nodo en casa. Si usas una cartera Lightning de móvil en la que la empresa guarda las claves, el nodo lo opera ella y es su trabajo parchearlo. Si tienes tus claves y además corres el nodo, el trabajo es tuyo y hoy. Entre una cosa y otra hay un terreno turbio de carteras que dicen ser no custodiadas pero dependen de la infraestructura de un tercero: ahí lo razonable es preguntar a quién la mantiene qué versión tiene instalada.

Antes fue Electrum

El patrón se repite con una regularidad incómoda. Hace unas semanas contamos cómo Electrum 4.8.3 corrigió un fallo que permitía robar bitcoin, y la secuencia fue la misma: el problema aparece en el programa con el que la gente toca su dinero, el arreglo se publica en abierto con número de versión y el riesgo se queda sólo con quien no lo instala. El software libre enseña sus costuras en público, y eso incluye el día en que algo se rompe.

Los mantenedores dejan dos pasos concretos: instalar la v26.06.10, publicada el 6 de noviembre en GitHub, y sustituir las credenciales de acceso remoto que no se puedan rastrear.

Fuentes

• release notice — fuente primaria (github.com), enlazada por CryptoSlate
• Unpatched Bitcoin Lightning nodes face channel-draining bug — CryptoSlate, 06/11/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.