Les développeurs de Core Lightning ont confirmé que plusieurs vulnérabilités du logiciel Bitcoin Lightning Network sont avérées. L’équipe publiera des mises à jour corrigées dans les prochains jours, mais les détails techniques resteront secrets pendant deux semaines.
Lightning permet de déplacer de petits paiements Bitcoin hors de la blockchain principale, au travers de canaux entre les nœuds. Tant que les opérateurs n’installent pas la correction, les fonds déposés dans ces canaux reposent sur un code déjà reconnu comme défaillant par l’équipe.
Une vulnérabilité du Bitcoin Lightning Network révélée par une avalanche de rapports générés par l’IA
Core Lightning (CLN) est l’une des principales implémentations du Lightning Network, la couche de paiement de Bitcoin. Soutenu par Blockstream, le projet fonctionne sur le réseau principal de Bitcoin depuis 2018.
Le 13 août, l’équipe a indiqué avoir reçu une vague de rapports de vulnérabilité générés par intelligence artificielle provenant de plusieurs sources au cours des dix derniers jours. Un petit groupe de développeurs et de volontaires a ensuite distingué les véritables bugs du bruit.
Plusieurs rapports se sont confirmés. Ce résultat a transformé une opération de maintenance de routine en une publication coordonnée de sécurité, et l’équipe a abandonné son plan initial d’une mise à jour rapide du correctif.
L’infrastructure de Bitcoin a subi de multiples attaques cette année. En août, BTCPay Server a mis en garde ses opérateurs les invitant à mettre à jour après que des attaquants ont vidé des fonds d’utilisateurs en exploitant une faille de connexion. Un hack du wallet Coldcard était apparu quelques jours auparavant.
Ce que signifie l’embargo de deux semaines pour les utilisateurs de Bitcoin
Le but est justement de retenir les détails. Des attaquants qui lisent un rapport public de bug peuvent souvent mettre au point un hack fonctionnel en quelques heures. C’est pourquoi l’équipe publie d’abord le logiciel corrigé, puis le rapport complet début septembre.
Les mises à jour comportent des signatures de développeurs qui attestent de leur reproductibilité, permettant à des tiers de vérifier que la version publiée correspond au code source. Les correctifs couvrent bon nombre des failles signalées, mais pas toutes.
Les utilisateurs ordinaires de Lightning n’ont aucune prise sur la situation. Leurs paiements transitent par des nœuds que d’autres exploitent, si bien que le rythme du déploiement dépend de ces opérateurs.
Les opérateurs qui ne procèdent pas à la mise à jour disposent d’une solution de secours. Mettre un nœud hors ligne coupe ses connexions aux autres nœuds tout en maintenant le daemon actif. Un daemon est le programme d’arrière-plan qui gère un nœud, surveille la blockchain et réagit à la fermeture d’un canal de paiement.
Core Lightning. Source: XTo be clear about what we are recommending: you do not need to shut your node down.
— Core Lightning ⚡️ (@Core_LN) August 27, 2026
Our advice is to upgrade. When the release lands, verify the signatures and install it, and do that promptly rather than eventually.
--offline is the alternative for anyone who is not going to… https://t.co/rjq8Haz4pE
La pression monte à mesure que Lightning touche un public plus large. Des produits récents l’ont intégré dans des wallets mobiles en auto-conservation et des outils de paiement dans les applications de messagerie, augmentant ainsi la population exposée à une défaillance de routage.
Adam Back, directeur général de Blockstream, a passé une grande partie de 2026 à se défendre publiquement sur l’orientation du scaling de Bitcoin. Les opérations de maintenance discrètes, comme celle-ci, attirent rarement autant l’attention.
Les nœuds laissés connectés sans être mis à jour comportent des risques que les développeurs qualifient de connus, mais dont ils ne donneront pas le détail pour l’instant. L’embargo prendra fin début septembre, offrant ainsi aux opérateurs une période propice pour mettre à jour, tandis que les détails resteront inaccessibles.
Lisez l’article original Votre Bitcoin est-il en sécurité sur Lightning ? Des failles réelles confirmées, un correctif arrive par Phil Haunhorst sur fr.beincrypto.com