L’équipe de Core Lightning (CLN), l’une des principales implémentations du réseau Lightning, a demandé mercredi à tous les opérateurs de nœuds de passer leurs serveurs hors ligne ou d’appliquer un correctif qui n’était pas encore publié. Le réseau concerné transporte environ 3 750 BTC, soit près de 375 milliards de satoshis, répartis sur 33 101 canaux et 16 420 nœuds, selon les données de mempool.space relayées par The Defiant.
Au programme
- 3 750 BTC transitent sur le réseau Lightning touché par l’alerte, répartis sur 33 101 canaux.
- Quatrième incident majeur sur la pile logicielle Bitcoin en l’espace de quatre semaines, après BTCPay Server, Coldcard et Boltz.
- 2 semaines d’embargo imposées par Blockstream avant toute divulgation publique de la faille, attendue début septembre.
Le message, diffusé sur le Discord officiel du projet et repéré sur stacker.news, annonce une série de correctifs sous embargo strict de 2 semaines. Les mainteneurs, menés par Blockstream, indiquent que les versions précédentes, dont la 26.04, ne seront plus supportées. La faille serait « sévère » selon Mark Erhardt, contributeur Bitcoin Core.
Pourquoi l’équipe exige-t-elle un passage hors ligne immédiat ?
La gravité de la situation est confirmée par la procédure inhabituelle choisie par les développeurs. Contrairement à une publication classique de correctif, les binaires corrigés sont distribués de manière restreinte, sans que la nature des vulnérabilités ne soit rendue publique. Le code source sur GitHub reste inchangé. L’objectif est d’empêcher des attaquants d’analyser les correctifs pour créer un exploit avant que le réseau soit protégé.
Le chercheur en sécurité Calle, membre de la Bitcoin Red Team, a amplifié l’alerte à 20h41 heure de Paris avec un ton plus direct : « URGENT : faille critique dans Core Lightning. Les développeurs de Blockstream pressent les utilisateurs de couper leurs nœuds CLN immédiatement. » Le message officiel de CLN, moins alarmiste, conditionne l’arrêt au refus de mise à jour. La nature exacte de la faille reste inconnue : s’agit-il d’un vol de fonds possible via le Lightning Network ou d’un blocage des serveurs ? Aucun détail n’a filtré.
Quel est le contexte de cette quatrième alerte en un mois ?
Cette alerte s’inscrit dans une série noire pour l’infrastructure Bitcoin. Depuis fin juillet, l’écosystème subit une pression inédite des chercheurs en sécurité et des attaquants. Le 30 juillet, un bug du firmware Coldcard de 2021 a conduit au drainage d’environ 114 millions de dollars en BTC sur plus de 5 200 adresses, un incident qui rappelle la migration forcée exigée par Coinkite. Quatre jours plus tard, le bridge Boltz suspendait son service, déclarant que les attaquants itèrent plus vite que son équipe ne peut corriger.
Le 7 août, les équipes de BTCPay Server avaient déjà demandé une mise à jour immédiate ou l’arrêt des serveurs, après une exploitation active de leur logiciel. Des nœuds Lightning ont été vidés dans la nuit, dont un appartenant au fabricant de hardware wallets Foundation. La nouvelle faille Core Lightning constitue donc le quatrième incident majeur en quatre semaines sur la pile logicielle Bitcoin.
Comment les opérateurs non techniques sont-ils affectés ?
La distribution sous embargo crée une situation à deux vitesses. Les opérateurs avancés, capables de compiler ou de gérer des binaires signés, peuvent récupérer les correctifs via les canaux privés de l’équipe, notamment Discord. La majorité des utilisateurs, qui s’appuient sur des solutions prêtes à l’emploi comme Umbrel ou RaspiBlitz, n’ont aucune mise à jour automatique disponible à ce stade.
Pour eux, la consigne de Blockstream est sans ambiguïté : passer le nœud totalement hors ligne. Cette décision n’est pas anodine. Un nœud hors ligne perd sa capacité à router des paiements et peut subir des pénalités financières ou une fermeture forcée de canaux par ses pairs. La mise hors ligne protège les fonds, mais détériore la liquidité globale du réseau Lightning, déjà fragilisé par les incidents de sécurité des nœuds du mois d’août.
La publication publique des correctifs et de l’analyse de la faille interviendra après l’embargo, début septembre 2026. Le marché du Bitcoin n’a pas réagi : le cours s’établissait à 78 490 $ mercredi après-midi, en baisse de 0,5 % sur 24 heures, selon CoinGecko.
À retenir
Core Lightning impose un choix brutal à ses opérateurs : appliquer un correctif invisible ou couper leurs nœuds. Cette gestion d’urgence, justifiée par la découverte de failles critiques, illustre la pression croissante des audits de sécurité sur les infrastructures Bitcoin Core. La levée de l’embargo, prévue début septembre, déterminera la gravité réelle de la menace et la capacité du réseau à absorber ce nouvel épisode.
Questions fréquentes
Pourquoi les développeurs demandent-ils de couper les nœuds sans publier de correctif ?
La distribution sous embargo empêche les attaquants d’analyser les correctifs pour créer un exploit avant que le réseau soit protégé. Les binaires corrigés sont distribués en privé, tandis que le code source public reste inchangé pendant deux semaines.
Quels fonds sont exposés par cette faille ?
Le réseau Lightning transporte environ 3 750 BTC, soit près de 375 milliards de satoshis, sur 33 101 canaux. La nature exacte de la faille n’étant pas divulguée, il est impossible de déterminer précisément quels fonds sont directement vulnérables.
Quand la faille sera-t-elle rendue publique ?
L’embargo strict de deux semaines imposé par l’équipe de Core Lightning expire début septembre 2026. La publication publique des correctifs et de l’analyse technique interviendra à ce moment-là, sauf modification du calendrier par Blockstream.
