Core Lightning sotto lockdown: i bug trovati dall'AI costringono i nodi a spegnersi — oggi scade l'embargo

Il 23 agosto i manutentori di Core Lightning — il client Lightning Network sviluppato da Blockstream — hanno detto ai gestori dei nodi una cosa che nel mondo Bitcoin non si sente spesso: installate i binari firmati di emergenza, o spegnete i nodi. Il motivo: una raffica di segnalazioni di vulnerabilità generate con l'aiuto dell'intelligenza artificiale, arrivate a partire dal 13 agosto, che il team non era ancora pronto a descrivere pubblicamente. I dettagli tecnici sono rimasti sotto embargo per 14 giorni. Ed è proprio oggi, 6 settembre, che quell'embargo scade.

Sembra una storia di nicchia da appassionati di nodi. Non lo è. È la prima volta che uno dei client principali della rete di pagamento di Bitcoin viene messo in lockdown da una scoperta automatizzata di bug, e la vicenda dice parecchio su come l'AI stia cambiando la sicurezza di tutto il settore crypto — e su quanto velocemente il tempo della "divulgazione coordinata" si stia comprimendo. Ti spiego cosa è successo, quanto Bitcoin è davvero in gioco e cosa fare se gestisci un nodo o se usi Lightning senza saperlo.

Cos'è successo: dal 13 al 23 agosto, dieci giorni di silenzio

Per capire la gravità devi sapere cos'è Core Lightning. La rete Lightning è il sistema di pagamenti "off-chain" di Bitcoin: apre canali tra due parti, ci blocca dentro dei bitcoin e permette di trasferirli all'istante e a costi minimi, senza scrivere ogni transazione sulla blockchain. Core Lightning (CLN) è uno dei tre software principali che fanno funzionare questa rete, insieme a LND di Lightning Labs e a Eclair di ACINQ. È scritto in C, è in mainnet dal 2018 ed è mantenuto da Blockstream, l'azienda fondata da Adam Back.

La sequenza, ricostruita dai resoconti del team e dalla stampa specializzata, è questa:

• 13 agosto: i manutentori di CLN iniziano a ricevere multiple segnalazioni di vulnerabilità generate con strumenti AI, arrivate da più fonti nell'arco di circa dieci giorni. Non è un singolo bug: è un gruppo di report.
• 13-23 agosto: finestra di verifica interna. Il team valida i report, separa i problemi veri dai falsi positivi e prepara i fix. Contributori esterni si uniscono al lavoro.
• 23 agosto: l'avviso pubblico su Stacker News. Il team chiede agli operatori di installare nuovi binari firmati o portare i nodi offline. E annuncia la fine del supporto per le release precedenti, inclusa la 26.04, "dati i rischi noti".
• 23 agosto – 6 settembre: embargo tecnico di 14 giorni sui dettagli delle vulnerabilità. Niente proof-of-concept, niente writeup tecnici: solo l'avviso di aggiornare o spegnere.
• Settembre: attesa la release stabile 26.09, che dovrebbe incorporare i fix d'emergenza e accompagnare la divulgazione completa dei dettagli.

Il punto importante, da tenere a mente: al 27-29 agosto non risultava alcuna exploit confermata in the wild. Questo lockdown è una misura preventiva, presa prima che qualcuno ci guadagnasse — non la risposta a un furto già avvenuto.

Perché 14 giorni di embargo (e perché scade oggi)

Qui arriva la parte interessante, quella che i comunicati ufficiali non spiegano. Perché non pubblicare subito tutti i dettagli tecnici?

Perché in un incidente di sicurezza come questo c'è un trade-off classico, che le linee guida sulla divulgazione coordinata delle vulnerabilità (CERT CVD) descrivono bene: pubblicare tutto subito significa dare la stessa informazione a difensori e attaccanti. Se un malintenzionato legge il proof-of-concept prima che la maggior parte dei nodi abbia fatto l'aggiornamento, può tentare di drenare i canali. Se invece non dici niente, gli operatori continuano a far girare software vulnerabile senza saperlo. L'embargo è il compromesso: abbastanza informazioni per spingere all'azione, non abbastanza per regalare un progetto a chi ha intenzioni peggiori.

C'è però un problema strutturale, ed è il cuore della vicenda. L'embargo funziona solo se regge. Gli strumenti di bug hunting assistiti dall'AI che hanno permesso a queste segnalazioni di arrivare al team di Core Lightning possono essere usati da chiunque — anche da qualcuno con intenzioni meno oneste — su una timeline che nessun calendario di divulgazione può controllare. Se un ricercatore "buono" ha trovato i bug con l'AI, un attaccante con gli stessi strumenti potrebbe ritrovarli da solo, indipendentemente dall'embargo. I finestroni di disclosure costruiti in un'epoca di revisioni manuali lente si stanno comprimendo, e questo caso è il primo stress test serio su infrastruttura critica di Bitcoin.

I numeri: quanto Bitcoin è davvero in gioco

Mettiamo i numeri sul tavolo, perché è quello che faccio sempre.

Secondo i dati del tracker 1ML, la capacità pubblica della rete Lightning — cioè i bitcoin bloccati nei canali aperti e visibili ai crawler — era ad agosto intorno a 2.640 BTC, distribuiti su più di 20.000 canali. Ai prezzi attuali, siamo intorno ai 210 milioni di dollari. Alcune ricostruzioni più ampie dell'incidente arrivano a indicare un'esposizione fino a circa 3.750 BTC: dipende da quante stime di capacità aggregata consideri. In ogni caso, parliamo di una quantità di denaro reale, bloccata in canali che qualcuno deve chiudere o proteggere.

Per inquadrare il momento: la capacità pubblica della rete aveva toccato il massimo storico di circa 5.600 BTC a dicembre, per poi raffreddarsi a metà nei mesi successivi — in parte per uno shift strutturale verso canali più grandi e meno numerosi e per la crescita dei canali privati, che non compaiono nei tracker pubblici. Il lockdown arriva quindi in una fase già delicata per la narrativa di crescita di Lightning.

C'è anche un rischio operativo nascosto, che pochi sottolineano: se troppi operatori scelgono la strada del "spegni tutto", la capacità di routing della rete si riduce, e i pagamenti che prima passavano da quei nodi devono trovare percorsi alternativi. E se qualcuno decide di chiudere i canali di fretta per "mettersi al sicuro", paga commissioni on-chain non banali e blocca la liquidità per giorni. Il team ha detto esplicitamente che la priorità è aggiornare, non spegnere — e che la modalità offline è un ripiego per chi non può patchare subito.

Non è un caso isolato: l'AI ha cambiato la caccia ai bug

La cosa che mi fa più riflettere è il contesto. Questo non è un episodio che capita una volta e basta: è il sintomo di un cambio di regime nella sicurezza del software.

Già ad agosto un audit assistito dall'AI su 390 progetti legati a Bitcoin aveva prodotto 4.962 segnalazioni in poco più di 24 ore, con 85 bug giudicati critici. Google aveva dimostrato che il fuzzing generato dall'AI riesce a scovare vulnerabilità anche in progetti maturi come OpenSSL. E sempre ad agosto Zeus Wallet — un wallet Lightning self-custodial — era finito offline dopo un attacco, senza perdita di fondi dei clienti. Prima ancora, un bug in BTCPay Server aveva permesso di drenare nodi Lightning, con patch rilasciata in un giorno.

Il pattern è chiaro: gli strumenti che trovano i bug stanno correndo più veloci dei processi che li riparano. I team di sicurezza che facevano revisioni manuali trimestrali ora ricevono un flusso continuo di segnalazioni automatizzate — alcune vere, molte rumore — che vanno triage da esseri umani prima di diventare patch. Questo ha un lato positivo: bug che sarebbero rimasti nascosti per anni emergono prima, magari prima che li trovi qualcuno con cattive intenzioni. Ha anche un lato negativo: comprime il tempo che i manutentori hanno per costruire, firmare e distribuire una correzione, e rende ogni embargo una scommessa.

Nel caso di Core Lightning la scommessa è gestita bene: binari firmati, build riproducibili, verifiche GPG. Gli operatori possono controllare che il software che installano corrisponda davvero al codice sorgente pubblicato. È esattamente l'igiene che serve quando chiedi a qualcuno di fidarsi di te senza mostrargli ancora le prove — la fiducia ha una data di scadenza, e oggi quella data arriva.

Cosa deve fare chi ha un nodo

Se gestisci un nodo Core Lightning, la parte operativa è semplice e la ripeto senza giri di parole:

• Aggiorna appena esce la release firmata. Il team è stato esplicito: "il nostro consiglio è aggiornare". La 26.09 è attesa a settembre e dovrebbe contenere i fix d'emergenza. Controlla il canale ufficiale del progetto e non installare binari da fonti non verificate.
• Verifica firme e checksum. Prima di installare, controlla il tag GPG firmato e l'hash del pacchetto: git tag -v e sha256sum sul file scaricato. È noioso, ma è il momento in cui conta di più.
• Non chiudere i canali di fretta. Una force-close paghi cara in commissioni on-chain e blocchi la liquidità. Se puoi aggiornare, aggiorna. La modalità offline è il piano B per chi non può farlo subito: il nodo smette di fare routing ma continua a osservare la blockchain e a rispondere quando un canale si chiude.
• Se sei su LND o Eclair, non è il tuo bug. Le vulnerabilità segnalate sono specifiche del codebase di Core Lightning. Ma resta sveglio: il prossimo giro di segnalazioni AI potrebbe colpire un altro client.

E se non gestisci nodi ma usi wallet Lightning — magari un wallet self-custodial sul telefono — la verità scomoda è che dipendi dagli operatori che instradano i tuoi pagamenti. Tu non puoi patchare un nodo che non controlli. Se il tuo wallet o il tuo provider non aggiorna, il rischio lo assorbi tu. Vale la pena chiedersi chi c'è dietro al wallet che usi e se ha una procedura di sicurezza seria.

E chi ha bitcoin "normali"?

Domanda che mi fanno in tanti: "ma io che ho bitcoin su un exchange o su un hardware wallet devo fare qualcosa?".

No. Questo incidente riguarda la liquidità instradata sulla rete Lightning, non la blockchain di Bitcoin e non i saldi custoditi nei wallet normali. I tuoi bitcoin su un hardware wallet non sono toccati, e nemmeno quelli su un exchange serio. La rete Bitcoin, nel frattempo, continua a funzionare: oggi BTC quota intorno a $79.900 con il Fear & Greed Index a 73 — Greed. Il mercato non ha battuto ciglio, e forse è giusto così: è una vicenda di infrastruttura, gestita prima che diventasse un furto.

Ma se usi Lightning per pagamenti quotidiani — ed è uno dei pochi casi d'uso crypto che trovo genuinamente utili — questo episodio ti dice una cosa: la sperimentazione ha un costo di manutenzione. La rete più innovativa di Bitcoin richiede operatori svegli, aggiornamenti rapidi e una catena di fiducia che funziona. Quando quel meccanismo siinceppa, lo scopriamo tutti.

Cosa faccio io

Tre considerazioni oneste, da persona che guarda i fondamentali e non i titoli.

Primo: non drammatizzo, ma nemmeno minimizzo. Nessun fondo rubato, nessuna exploit confermata: dal punto di vista dei soldi, è andata bene. Ma è andata bene perché qualcuno ha fatto la cosa giusta al momento giusto — e perché gli attaccanti, questa volta, sono arrivati secondi. La prossima volta potrebbe non andare così.

Secondo: l'AI sta cambiando le regole della sicurezza, in entrambe le direzioni. La stessa tecnologia che ha permesso a questo gruppo di bug di venire a galla può essere usata da chi vuole sfruttarli. Chi investe in crypto dovrebbe guardare con più attenzione a come i progetti gestiscono la sicurezza operativa: processi di disclosure seri, risposte rapide, build verificabili. Sono questi i dettagli che separano i progetti affidabili da quelli che scopri troppo tardi di aver sopravvalutato.

Terzo: oggi esce la disclosure, e la leggo. L'embargo scade oggi, 6 settembre: con la release 26.09 dovrebbero arrivare i dettagli tecnici completi. È il momento in cui la fiducia temporale concessa al team di Blockstream si trasforma in evidenza verificabile — o non si trasforma. È così che si valuta un progetto open source serio: non dalle promesse, ma da quello che pubblica quando promette di pubblicare.

Io guardo, verifico e decido coi dati alla mano. Fai lo stesso.

Disclaimer: questo articolo ha scopo informativo ed educativo, non costituisce consulenza finanziaria o raccomandazione di investimento. Le informazioni sull'incidente di Core Lightning provengono da fonti pubbliche (CryptoSlate, 1ML, resoconti del team Core Lightning, stampa specializzata) e sono aggiornate alla data di pubblicazione. I prezzi e i dati di mercato cambiano rapidamente. Fai sempre le tue ricerche (DYOR).

Continua a leggere:

• Coldcard Mk3: 594 BTC svuotati in poche ore — il warning Coinkite e cosa fare subito
• BIP-110: il soft fork che voleva "ripulire" Bitcoin è durato due blocchi — e poi è morto
• Hardware Wallet: cosa sono e come funzionano — guida completa 2026