闪电网络套件曝漏洞：资金错配与重启瘫痪

据 Woofun AI 消息，闪电网络开发套件于 9 月 9 日发布 v0.2.6 版本，旨在修复可能导致资金错误转移及节点重启失败的严重安全漏洞。

Woofun AI 整理数据显示，首个漏洞源于"拼接"机制中的费用计算缺陷。在交易费用由参与方共同承担的机制下，发起节点需为自身贡献的输入与输出以及通用部分支付费用。恶意节点可利用此缺陷操纵费用计算方式，导致过高的费用分配，使多余的费用流入其账户中。虽然风险涉及少量资金，但官方未明确具体的风险金额上限。

第二个漏洞涉及两个共享相同支付哈希值的支付合约。若其中一个合约被成功转发，而另一个虚假合约被立即接收并拒绝，将导致 ChannelManager 状态无法被加载。作为 LDK 中管理通道及支付功能的核心组件，ChannelManager 在重启现有的节点时需将保存的状态重新读入内存，这一反序列化过程若因保存状态被拒绝而失败，应用程序便无法完成正常的重启流程。

值得注意的是，仅靠拒绝虚假支付并不能避免这种特定的故障发生。

对于钱包构建者而言，此次更新至关重要。修复措施确保了在通道状态发生变化时能正确分配资金，并在系统关闭后恢复可加载的状态。尽管尚未发现任何实际损失或被利用的应用案例，但受影响的应用程序团队亟需将这些修复内容应用到他们正在使用的软件中，以消除潜在风险。