Core Lightning ranjivost: što trebate napraviti

Core Lightning, jedna od glavnih implementacija Lightning mreže, potvrdila je krajem kolovoza 2026. da postoje stvarne sigurnosne ranjivosti u njezinu softveru i objavila zakrpu — verziju 26.06.7 — bez otkrivanja tehničkih detalja. Ako vodite vlastiti Lightning čvor, jedina ispravna reakcija je nadograditi na zakrpanu verziju; ako Lightning koristite samo kroz novčanik na mobitelu, ne morate poduzimati ništa.

Priča je zanimljiva i zbog toga kako su bugovi pronađeni: developeri su ih potvrdili nakon vala prijava ranjivosti generiranih umjetnom inteligencijom. To je novi obrazac u sigurnosti otvorenog koda i vrijedi ga razumjeti.

Što se točno dogodilo

Tijekom kolovoza 2026. Core Lightning tim primio je veći broj CVE prijava nastalih uz pomoć AI alata. Nakon otprilike deset dana pregleda, tim i vanjski suradnici potvrdili su da nekoliko tih prijava opisuje stvarne ranjivosti u softveru. Blockstream je zakrpanu verziju 26.06.7 isporučio 28. kolovoza 2026.

Broj ranjivosti, njihova ozbiljnost i CVE oznake nisu objavljeni. Izvorni kod zakrpe drži se pod embargom 14 dana, do 11. rujna 2026., kako napadači ne bi iz same izmjene koda iščitali gdje je rupa prije nego što je operateri stignu zatvoriti. To je standardna praksa u sigurnosti softvera, a Core Lightning ju je javno obrazložio nakon poziva da se čvorovi jednostavno ugase.

Zašto se čvor ne smije samo ugasiti

Ovo je najkorisniji dio priče za svakoga tko uči kako Lightning zapravo radi. Instinktivna reakcija — „ugasi čvor dok ne prođe opasnost” — kod Lightninga je pogrešna.

Lightning kanal je zajednički zapis stanja između vas i druge strane. Sigurnost počiva na tome da vaš čvor gleda blockchain i reagira ako druga strana pokuša zatvoriti kanal sa starijim, njoj povoljnijim stanjem. Ugašen čvor to ne može učiniti — dakle, gašenje vas ne štiti, nego uklanja obranu.

Zato je Core Lightning operaterima koji ne mogu odmah nadograditi preporučio pokretanje čvora s opcijom --offline: čvor prestaje primati veze i usmjeravati plaćanja, ali i dalje prati Bitcoin blockchain i može se obraniti. Preporuka tima za nadogradnju bila je jednoznačna — instalirati čim izdanje stigne, uz provjeru potpisa, i to odmah, a ne „kad stignem”.

Umjetna inteligencija kao izvor sigurnosnih prijava

Val AI-generiranih prijava ranjivosti u 2026. je dvosjekli mač. S jedne strane, ovdje je nekoliko prijava bilo točno i dovele su do stvarne zakrpe. S druge, mali timovi održavatelja otvorenog koda troše dane na trijažu prijava od kojih je većina neupotrebljiva — deset dana rada za potvrdu nekoliko problema nije zanemariv trošak za projekt koji održava šačica ljudi.

Za korisnika je pouka jednostavna: infrastruktura na kojoj počiva Bitcoin ekosustav održava se ljudskim radom, a ne automatski. Zato su redovite nadogradnje i pouzdan izvor obavijesti dio odgovornosti svakoga tko drži vlastiti čvor.

Što ovo znači za vas — praktično

Ako koristite mobilni Lightning novčanik (Phoenix, Breez, Wallet of Satoshi i slični): vi ne vodite Core Lightning čvor i ova zakrpa se ne odnosi izravno na vas. Ipak, ažurirajte aplikaciju kad stigne update — pružatelji usluge iza tih novčanika nadograđuju svoju infrastrukturu sami.

Ako vodite vlastiti čvor na Core Lightningu: nadogradite na 26.06.7, provjerite potpise izdanja i, ako ne možete odmah, pokrenite čvor s --offline. Ne gasite ga.

Ako koristite drugu implementaciju (LND, Eclair): ova objava odnosi se na Core Lightning. To ne znači da ste imuni — pratite sigurnosne objave svoje implementacije jednako pažljivo.

Opće pravilo: na Lightningu držite samo iznose koje koristite za svakodnevna plaćanja. Veći dio štednje pripada u hladnu pohranu na osnovnom Bitcoin sloju, gdje nema kanala, nema aktivnog čvora i nema hitnih zakrpa.

Kako to uklopiti u širu sliku

Lightning je drugi sloj koji Bitcoinu daje trenutna i jeftina plaćanja, i upravo zato je posljednjih godina ušao u sve više aplikacija. Više korisnika znači da svaka ranjivost u usmjeravanju pogađa širi krug ljudi — a to je normalna cijena rasta, ne znak da tehnologija ne valja. Ako želite osvježiti kako Lightning uopće funkcionira i zašto je koristan, pročitajte naš raniji tekst Lightning Network 2026: Bitcoin kao platni sustav.

Ono što ovaj slučaj dobro pokazuje jest da otvoreni kod nije siguran zato što nikad nema grešaka, nego zato što se greške javno pronalaze, zakrpaju i objave. Zatvoreni sustav s istim bugom vjerojatno ne biste nikad ni saznali.

Ako vam je sve ovo zvučalo prekomplicirano — čvorovi, kanali, zakrpe — to je potpuno u redu i točno je razlog zašto držimo radionice. Na Bitcoin radionici u Zagrebu, Beču ili online prolazimo kroz osnove: kako sigurno kupiti bitcoin, kako postaviti novčanik i kako razlikovati stvarni rizik od buke u medijima. Prijavite se i krenite od nule, korak po korak.

Ovaj članak je informativnog karaktera i nije financijski savjet.