Core Lightning bestätigte am 26. August 2026 eine kritische Lightning-Sicherheitslücke und kündigte ein Notfall-Update an. Bis zur Veröffentlichung sollen Node-Betreiber den Offline-Modus nutzen.

Sicherheitslücken in Core Lightning entdeckt

Core Lightning bestätigte am Mittwoch, 26. August 2026, eine kritische Lightning-Sicherheitslücke und kündigte ein Notfall-Update binnen 48 Stunden an. Die Entwickler prüften zehn Tage lang automatisiert erstellte Schwachstellenberichte und stuften mehrere Befunde als real ein.

Mehrere der KI-generierten Meldungen betreffen laut Core Lightning echte, teils kritische Sicherheitslücken in der Lightning-Implementierung. Konkrete Kennungen oder technische Details veröffentlichte das Projekt bislang nicht, sie sollen 14 Tage vertraulich bleiben, damit Angreifer keinen Vorsprung vor der Verteilung des Updates erhalten.

Bislang meldete Core Lightning weder eine aktive Ausnutzung der Lücken noch bestätigte Verluste von Nutzer-Guthaben. Bis zur Veröffentlichung sollen Betreiber ihre Nodes in den Offline-Modus versetzen.

Sicherheits-Update wird angekündigt

Das Entwicklerteam bereitet derzeit signierte Programmdateien für eine Notfall-Veröffentlichung vor. Nach eigenen Angaben soll das Update binnen 48 Stunden nach der Ankündigung vom 26. August vorliegen. Bis dahin verweist das Projekt auf die offizielle GitHub-Veröffentlichungsseite von ElementsProject/lightning, auf der die neue Version nach Fertigstellung erscheint.

Erst eine signierte Version gilt als vertrauenswürdig, von inoffiziellen Zwischenversionen rät das Team ausdrücklich ab. Für Node-Betreiber, die noch nicht aktualisiert haben, bleibt der eingeschränkte Betrieb bis zur Veröffentlichung ein zentraler Baustein der Bitcoin-Node-Sicherheit.

Offline-Modus empfohlen für Node-Operator

Wer die Lightning-Sicherheitslücke nicht sofort schließen kann, soll den eigenen Node laut Core Lightning nicht komplett abschalten, sondern mit der Option „–offline“ neu starten. Dieser Modus unterbindet Zahlungen vollständig, hält den Node aber aktiv und blockchain-synchron, sodass er reagieren kann, falls ein Kanalpartner einen Kanal einseitig schließt.

Der Vorfall reiht sich in weitere Sicherheitsbefunde der Bitcoin-Infrastruktur ein, die freiwillige Entwickler ohne zentrale Audit-Instanz pflegen.

Die Schwachstelle betrifft die Lightning-Ebene, nicht das zugrunde liegende Bitcoin-Protokoll, dessen feste Obergrenze von 21 Mio. Einheiten unberührt bleibt. Wer einen eigenen Node betreibt, trägt die laufende Wartung selbst, ein Unterschied zur Verwahrung über eine zentrale Plattform.

Offen bleibt, wie viele Betreiber rechtzeitig reagieren und ob weitere Implementierungen betroffen sind. Das angekündigte Update soll laut Zeitplan binnen 48 Stunden vorliegen.

Wir berichteten über die umfassende Sicherheitsprüfung der Bitcoin-Infrastruktur, bei der die Lightning-Komponente besonders schlecht abschnitt.