Bitcoins betalingslag fikk sitt første store sikkerhetsvarsel på flere måneder da utviklerne bak Core Lightning, en av de fire store programvarene som driver Lightning Network, gikk ut 2. oktober 2026 og meldte at angripere aktivt retter seg mot noder som ikke er oppdatert. Varselet rammer spesifikt installasjoner på versjon 26.06.7 eller eldre, og kommer ti dager etter at selve sikkerhetsfiksen allerede var sluppet uten mye oppmerksomhet.
Saken er interessant av to grunner. Den første er teknisk: svakhetene ligger i hvordan noder lukker betalingskanaler og håndterer innkommende forespørsler, noe som i verste fall kan sette midler i fare eller slå noden helt ut. Den andre er strukturell. Core Lightning utgjør et lite mindretall av det offentlige Lightning-nettverket, men programvaren brukes av sentrale aktører i infrastrukturen, og hendelsen illustrerer hvor sårbart et desentralisert nettverk kan være når ett enkelt kodebibliotek har et hull.
Hva Core Lightning-varselet faktisk sier
Core Lightning-teamet publiserte en kort, direkte melding til nodeoperatører 2. oktober. “Viktig sikkerhetsoppdatering: Hvis du kjører versjon 26.06.7 eller eldre, bør du oppgradere til siste utgave så snart som mulig.” skrev teamet i en uttalelse gjengitt av Cointelegraph. Beskjeden var ikke en rutinemessig oppfordring om å holde programvaren oppdatert. Den kom som en direkte respons på observert, aktiv skanning og utnyttelse av noder som ennå ikke hadde installert patchen.
Teamet bekreftet at de hadde mottatt konkrete rapporter om angrep i praksis, ikke bare en teoretisk risiko. “Vi har fått rapporter om at angripere retter seg mot ikke-oppdaterte noder,” het det i en uttalelse referert av Cryptopolitan. Samtidig var utviklerne tydelige på hva de ikke visste: nøyaktig angrepsvektor ble ikke offentliggjort, og det ble ikke bekreftet at noen midler faktisk var tapt. Denne kombinasjonen av håndfast varsel og manglende detaljer er typisk for sikkerhetskommunikasjon i åpen kildekode-prosjekter, der for mye informasjon kan gi angripere en oppskrift før alle brukere har oppdatert.
Rådet var enkelt og gjentatt flere steder: “Å holde noden oppdatert er et viktig skritt for å beskytte midlene dine,” skrev teamet i en melding sitert av DeFi Planet. For en nodeoperatør med midler bundet i åpne kanaler er dette ikke et valgfritt tiltak. En Lightning-node som er koblet til internett, kan nås direkte av andre noder i nettverket, og det gjør svakheten til en reell angrepsflate i stedet for et akademisk tankeeksperiment.
Tidslinjen: patch 22. september, varsel 2. oktober
Det som gjør saken spesielt ubehagelig for mange operatører, er hullet mellom patch og offentlig varsel. Core Lightning-teamet begynte å undersøke en alvorlig sårbarhet rundt 16. september 2026. Den rettede versjonen, 26.06.8, ble gjort tilgjengelig allerede 22. september, ifølge rapportering gjengitt av Bitcoin.com. Først ti dager senere, 2. oktober, kom det offentlige varselet om at angripere aktivt skanner etter og utnytter noder som ikke har installert oppdateringen.
For sluttbrukere skaper dette et kjent dilemma i programvaresikkerhet. En patch som slippes stille, uten fanfare, blir ofte ikke installert raskt nok fordi operatørene ikke vet at den er kritisk. En patch som annonseres høylytt med full teknisk forklaring, kan derimot fungere som veikart for angripere som ennå ikke har funnet svakheten selv. Core Lightning valgte en mellomvei: slippe fiksen rolig, og eskalere kommunikasjonen først når det var bevis for faktisk utnyttelse i nettverket. Det er en avveining mange prosjekter med kritisk infrastruktur står i, og praksisen er langt fra unik for Bitcoin-miljøet.
Rapportering fra Crypto.news pekte på at den videre dekningen gjennom 11. oktober fortsatt beskrev situasjonen som aktiv, uten at noen hadde bekreftet eksakte tapsbeløp eller identifisert hvem som står bak angrepene. Det tyder på at episoden fortsatt var uavklart over en uke etter at varselet gikk ut, noe som i seg selv sier noe om hvor vanskelig det er å spore angrep mot desentralisert infrastruktur uten en sentral logg å analysere.
De tekniske svakhetene i detalj
Selv om Core Lightning ikke ga ut en fullstendig teknisk sårbarhetsrapport samtidig med varselet, pekte etterfølgende dekning på tre separate problemområder som patch 26.06.8 rettet opp i. Det første gjelder feil kanallukking, der en motpart kan tvinge gjennom en lukking på en måte som i teorien kan utløse Bitcoins straffemekanisme mot feil part og sette kanalmidler i fare. Det andre er en svakhet i nodens REST-grensesnitt, der spesialtilpassede forespørsler kan drive frem minneuttømming og gjøre noden utilgjengelig. Det tredje er en mer generell krasjsårbarhet som kan slå ut en node eksternt, uten at angriperen trenger direkte tilgang til serveren.
Ingen av disse tre er, hver for seg, like dramatiske som et direkte tyveri fra en smart kontrakt. Men i kombinasjon beskriver de et realistisk scenario: en angriper som systematisk skanner det offentlige nettverket etter noder med gammel versjonsstreng, forsøker å krasje dem eller tvinge dårlige kanallukkinger, og utnytter kaoset som følger. For en operatør som driver en node med begrenset overvåking, kan dette bety timer eller dager med nedetid før problemet blir oppdaget, og i verste fall et tap av midler som var bundet i en kanal som ble lukket feil.
Det er verdt å understreke hva denne hendelsen ikke er. Dette er ikke et angrep på Bitcoins konsensusmekanisme, ikke en svakhet i blokkjedens hashfunksjoner, og ikke noe som påvirker midler som ligger i vanlig kald lagring utenfor Lightning. Svakheten er isolert til ett spesifikt lag av programvare som styrer betalingskanaler, og den påvirker bare noder som kjører den aktuelle, utdaterte versjonen av Core Lightning.
Hvem driver Core Lightning, og hvorfor det har betydning
Core Lightning, tidligere kjent som c-lightning, er en av de eldste implementasjonene av Lightning Network-protokollen og vedlikeholdes av Blockstream, et av de mest profilerte selskapene i Bitcoin-infrastruktur. Selskapet har siden starten posisjonert seg som en leverandør av kjerneverktøy for utviklere og institusjoner, snarere enn en forbrukervennlig lommebok-app. Det betyr at mange av nodene som kjører Core Lightning, ikke er privatpersoner med en liten kanal eller to, men tjenester, børser og infrastrukturleverandører som ruter betydelige betalingsvolum gjennom nettverket.
Det gir hendelsen en annen karakter enn om den hadde truffet et rent forbrukerprodukt. Antall berørte noder kan være lavt i absolutte tall, men nodene som er berørt, kan hver for seg håndtere langt større kapital og ruting-volum enn gjennomsnittsnoden i nettverket. En vellykket utnyttelse av noen få sentrale CLN-noder kan derfor ha en uforholdsmessig stor effekt på nettverkets samlede likviditet og ruting-kapasitet, selv om andelen berørt programvare i nodetall er liten.
Markedsandeler: CLN mot LND, Eclair og LDK
Lightning Network driftes i praksis av fire hovedimplementasjoner, og de har svært ulik utbredelse. Ifølge nettverksstatistikk fra 2026 domineres det offentlige nodetallet av LND fra Lightning Labs, mens Core Lightning utgjør et lite mindretall. Eclair fra det franske selskapet ACINQ har en enda mindre andel av synlige noder, men ruter uforholdsmessig mye trafikk relativt til nodeantallet. LDK, et utviklerbibliotek snarere enn en frittstående node, er bygget inn i tjenester som Cash App, Lightspark og Alby Hub, og er derfor vanskelig å måle med samme metodikk som de andre.
| Implementasjon | Andel av offentlige noder | Vedlikeholdes av | Rolle i oktober-hendelsen |
|---|---|---|---|
| LND | Ca. 90 % | Lightning Labs | Ikke berørt |
| Core Lightning (CLN) | Ca. 5 % | Blockstream | Direkte berørt, patch 26.06.8 |
| Eclair | Under 1 % av noder, høyere rutingandel | ACINQ | Ikke berørt |
| LDK | Ikke målt i nodetall, estimert ca. 25 % av volum via integrasjoner | Spiral / Block | Ikke berørt |
Tallene bør leses som grove anslag snarere enn en nøyaktig oversikt, fordi private kanaler og skjult kapasitet ikke fanges opp av offentlige nettverksmålinger. Likevel er mønsteret klart: CLN er et nisjevalg i antall noder, men brukes av aktører med betydelig infrastrukturansvar, og det er nettopp denne kombinasjonen som gjør oktober-varselet relevant langt utenfor den tekniske kretsen som følger Core Lightnings utviklingsarbeid tett.
Historisk kontekst: Lightning Network har vært her før
Dette er ikke første gang Lightning Networks sikkerhetsmodell har blitt satt under press. I 2023 avdekket forskere det som ble kalt et “replacement cycling”-angrep, der en motpart gjentatte ganger kunne erstatte transaksjoner i Bitcoins mempool og utnytte svakheter i kanalenes straffemekanisme. Angrepet rammet flere implementasjoner samtidig, ikke bare én, og utløste en koordinert runde med fiksing over flere prosjekter. Det ble aldri publisert et samlet, bekreftet tapsbeløp for hele nettverket sammenlignbart med et stort børshack, men hendelsen viste at selve designet av straffebaserte kanaler har strukturelle svakheter som krever løpende vedlikehold.
Oktober-episoden med Core Lightning skiller seg fra 2023-saken på ett viktig punkt. Der replacement cycling var et protokollnivå-problem som i prinsippet kunne påvirke alle implementasjoner, er den nåværende sårbarheten isolert til kodebasen i én spesifikk programvare. Det gjør den enklere å løse ved å bytte versjon, men den er samtidig en påminnelse om at hver implementasjon bærer sin egen tekniske skuld, og at et sunt økosystem med flere konkurrerende programvarer samtidig betyr flere steder noe kan gå galt.
Markedseffekt: Påvirker dette Bitcoin-prisen eller Lightning-adopsjonen?
I motsetning til store børshack, der tapte midler og panikk ofte gir et umiddelbart utslag i priskurver, er det ingen tegn til at Core Lightning-varselet har gitt et målbart avtrykk på Bitcoins pris. Det er en logisk konsekvens av at hendelsen rammer et lag over selve blokkjeden, ikke konsensus eller det grunnleggende proof-of-work-systemet. Ingen analytikerkommentarer koblet direkte prisbevegelser til varselet i dagene etter 2. oktober.
Den mer relevante risikoen er operasjonell og ryktemessig snarere enn rent finansiell på kort sikt. Lightning Network har i flere år kjempet for å bli sett som et stabilt, produksjonsklart lag for daglige betalinger, ikke bare et eksperiment for teknisk interesserte. Hver gang en implementasjon får et sikkerhetsvarsel med ordet “aktive angrep” i overskriften, gir det ammunisjon til skeptikere som hevder at infrastrukturen fortsatt er for umoden for storskala bruk, selv om den faktiske andelen berørte noder er lav. Samtidig finnes det ingen kildebelagte data som viser et konkret fall i nettverkskapasitet eller aktive kanaler etter varselet, så den direkte adopsjonseffekten er foreløpig udokumentert heller enn negativ.
Konkurrentsammenligning: Hvordan sikkerhetskulturen skiller seg
De fire store Lightning-implementasjonene har utviklet ulike tilnærminger til sikkerhetshåndtering over tid. LND, som dominerer nodetallet, har en større brukerbase å teste mot og dermed bredere feltdekning, men det betyr også at en eventuell svakhet der potensielt kan treffe en mye større andel av nettverket samtidig. Core Lightning har historisk vært kjent for en konservativ, infrastrukturorientert tilnærming med Blockstream i førersetet, noe som gjorde oktober-varselet overraskende for mange i miljøet som forbinder prosjektet med stabilitet snarere enn akutte sikkerhetsbrudd.
Eclair fra ACINQ har tradisjonelt fokusert på robusthet for aktører som ruter store volum, med færre, men tyngre noder. LDK representerer en helt annen filosofi: i stedet for å levere en frittstående node, gir utviklerne et bibliotek andre kan bygge egne betalingsopplevelser på, noe som sprer sikkerhetsansvaret til hver enkelt integrasjonspartner. Ingen av modellene er objektivt tryggere i alle scenarioer, men oktober-hendelsen illustrerer en konkret ulempe ved den sentraliserte node-modellen: når én kodebase har et hull, er det ett sted alle brukere av den må oppdatere samtidig for å være trygge.
Tidslinje over hendelsen
| Dato | Hendelse |
|---|---|
| Ca. 16. september 2026 | Core Lightning-teamet starter undersøkelse av en alvorlig sårbarhet |
| 22. september 2026 | Rettet versjon 26.06.8 gjøres tilgjengelig, uten stort offentlig oppslag |
| 2. oktober 2026 | Offentlig sikkerhetsvarsel: angripere observert mot noder på versjon 26.06.7 eller eldre |
| Frem til 11. oktober 2026 | Fortsatt ingen bekreftede tapsbeløp eller identifisert angriper, situasjonen beskrives som aktiv |
Hva nodeoperatører bør gjøre nå
Rådet fra Core Lightning-teamet er uttrykkelig enkelt: oppgrader. For en drevet nodeoperatør er dette i praksis en kort sjekkliste. Først bør man bekrefte hvilken versjon noden faktisk kjører, siden mange driftsmiljøer ikke oppdaterer automatisk. Deretter bør man laste ned og installere 26.06.8 eller en senere utgave direkte fra prosjektets offisielle kanaler, ikke fra tredjepartsspeil man ikke kan verifisere. Underveis bør operatøren også vurdere å begrense eksponeringen av REST-grensesnittet mot det åpne internett, siden dette er en av angrepsflatene som ble pekt ut i de påfølgende tekniske gjennomgangene.
For noder med betydelig kapital bundet i kanaler er det også verdt å sjekke om man har satt opp overvåking som fanger opp uventede kanallukkinger. Et verktøy som en watchtower-tjeneste kan gjøre nøyaktig denne jobben automatisk, slik at en forsøkt utnyttelse av kanallukkingsfeilen blir fanget opp og håndtert før midlene går tapt, selv om nodeeieren selv ikke overvåker systemet kontinuerlig. Operatører som allerede har gått gjennom en solid prosess for sikker oppgradering av hardware-lommebøker og nøkkelhåndtering, vil kjenne mye av den samme disiplinen fra andre deler av Bitcoin-infrastrukturen.
Hva dette betyr for norske og nordiske aktører
Lightning Network-bruken i Norden er fortsatt liten i internasjonal sammenheng, men veksten i antall noder og kanaler har vært jevn de siste årene, drevet av både entusiastmiljøer og et økende antall betalingstjenester som eksperimenterer med Bitcoin som avregningslag. For norske og nordiske aktører som driver egen infrastruktur, enten det er en liten privatnode eller en kommersiell tjeneste bygget på toppen av Core Lightning eller LDK, er hendelsen en direkte påminnelse om at drift av betalingsinfrastruktur krever samme oppdateringsdisiplin som drift av en vanlig server eksponert mot internett.
Det er også en mer strukturell lærdom i dette for nordiske fintech-aktører som vurderer Lightning som betalingsrail. Programvarevalg har reelle sikkerhetskonsekvenser, og en leverandørvurdering bør inkludere hvor raskt en gitt implementasjon historisk har respondert på sårbarheter, ikke bare hvilke funksjoner den støtter. Et selskap som bygger betalingsprodukter på Bitcoin bør ha en konkret plan for hvordan sikkerhetsvarsler fra den underliggende nodeprogramvaren håndteres internt, inkludert hvem som er ansvarlig for å følge med og hvor fort en patch skal rulles ut i produksjon.
Fem prediksjoner for resten av 2026
- Core Lightning vil etter alt å dømme publisere en mer detaljert, fullstendig teknisk gjennomgang av sårbarheten når et tilstrekkelig stort antall noder har oppgradert, i tråd med vanlig praksis for ansvarlig offentliggjøring i åpen kildekode.
- Andre Lightning-implementasjoner vil trolig bruke hendelsen som anledning til egne interne revisjoner av kanallukkings- og REST-grensesnittkode, selv uten et direkte påvist hull i egen kodebase.
- Andelen noder som kjører utdaterte CLN-versjoner vil sannsynligvis falle betydelig i løpet av ukene etter varselet, men en liten kjerne av uoppdaterte noder vil typisk bli stående igjen over lengre tid, som i de fleste lignende programvarevarsler.
- Det er sannsynlig at vi får se flere lignende “aktive angrep”-varsler fra Lightning-implementasjoner i 2026 og 2027, i takt med at nettverket vokser og blir et mer attraktivt mål for systematisk skanning.
- Diskusjonen om watchtower-tjenester og automatisert kanalovervåking vil trolig få et oppsving som direkte respons på denne hendelsen, ettersom den tydelig viser verdien av tredjeparts sikkerhetsnett for noder som ikke overvåkes kontinuerlig av eieren selv.
Den bredere lærdommen om Lightning Networks sikkerhetsmodell
Det er fristende å lese Core Lightning-varselet som isolert dårlig nytt for et enkelt prosjekt, men den mer presise tolkningen er at det bekrefter en kjent svakhet i hvordan Lightning Network som helhet er bygget opp. Nettverket er ikke én monolittisk kodebase, men et samarbeid mellom flere uavhengig utviklede implementasjoner som alle må snakke det samme protokollspråket korrekt. Det gir motstandskraft mot at én enkelt feil slår ut hele nettverket, men det betyr samtidig at hver implementasjon bærer sitt eget, separate sikkerhetsansvar, og at brukere må stole på at nettopp den programvaren de har valgt, blir vedlikeholdt like godt som konkurrentene.
For et nettverk som fortsatt jobber for å bli tatt seriøst som betalingsinfrastruktur utenfor det tekniske miljøet, er denne typen hendelser en test av hvor raskt og tydelig prosjektene kommuniserer med driftsansvarlige. Core Lightning-teamets korte, direkte varsel, uten unødvendig panikk men også uten å pynte på at angrep faktisk pågikk, er et eksempel på kommunikasjon som mange større, mer kommersielle programvareleverandører kunne lært noe av.
Ofte stilte spørsmål
Hvilken versjon av Core Lightning er sårbar?
Alle versjoner 26.06.7 og eldre er berørt. Operatører bør oppgradere til 26.06.8 eller en senere utgave umiddelbart.
Har noen tapt penger i denne hendelsen?
Nei, ikke bekreftet. Core Lightning-teamet har ikke rapportert noen bekreftede tap av midler knyttet til de aktive angrepene som ble beskrevet 2. oktober 2026.
Påvirker dette Bitcoin-blokkjeden selv?
Nei. Sårbarheten ligger i Lightning Network-laget, altså programvaren som styrer betalingskanaler, ikke i Bitcoins underliggende konsensus eller hashfunksjoner.
Hvor stor del av Lightning Network kjører Core Lightning?
Ifølge 2026-estimater utgjør Core Lightning rundt 5 prosent av offentlige noder, mot omtrent 90 prosent for LND.
Hvem vedlikeholder Core Lightning?
Core Lightning vedlikeholdes av Blockstream, et av de mest profilerte selskapene innen Bitcoin-infrastruktur.
Hva var de konkrete svakhetene som ble rettet?
Rapportering peker på tre forhold: en feil ved kanallukking som kan sette midler i fare, en svakhet i REST-grensesnittet som kan utløse minneuttømming, og en mer generell krasjsårbarhet som kan slå ut noden eksternt.
Er LND eller Eclair-noder berørt av samme sårbarhet?
Nei. Rapporteringen knytter sårbarheten spesifikt til Core Lightnings kodebase. Det er ikke dokumentert at LND, Eclair eller LDK er berørt av samme feil.
Hva bør en nodeoperatør gjøre akkurat nå?
Sjekk versjonsnummeret på noden, oppgrader til 26.06.8 eller nyere fra offisielle kanaler, begrens eksponeringen av REST-grensesnittet mot åpent internett, og vurder en watchtower-tjeneste for å fange opp uventede kanallukkinger automatisk.