ACINQ发布Eclair v0.14.4修复浏览器伪造命令漏洞

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

ACINQ已正式发布Eclair v0.14.4，作为其比特币闪电网络节点实现的一次关键安全补丁。此次更新聚焦于防范通过浏览器环境发起的伪造命令攻击，有效阻断恶意网页利用API接口对运行中的节点进行非授权操作的风险。

核心风险：跨站请求伪造（CSRF）

本次更新解决的核心问题是API层存在的跨站请求伪造隐患。若存在恶意网页，可能诱导用户在本地访问可被控制的Eclair API端点，从而在用户无感知的情况下触发通道管理或资金转移等敏感操作。这类攻击路径尤其威胁到那些将API暴露于外部网络的节点运营方。

Eclair是闪电网络生态中重要的参考实现之一，广泛用于节点运营、应用开发及系统集成。其API接口的开放性虽提升了兼容性，但也带来了潜在的安全边界挑战。一旦被滥用，可能导致资产控制权旁落。

安全边界重构：浏览器与API的隔离增强

v0.14.4版本通过引入更严格的来源验证机制，明确区分浏览器上下文请求与可信调用。该改进阻止了来自未经认证环境的命令注入行为，显著降低了因访问不可信网站而导致节点被远程操控的可能性。

具体实现细节已在GitHub官方发布说明中披露。这一举措延续了Eclair持续加固安全架构的路线，此前版本已解决费用计算边缘情况等问题。对于在非本地回环地址上公开API的运营商，本次修复尤为重要，风险等级高于仅限本地访问的部署场景。

运营商与开发者应对建议

所有使用Eclair且对外提供浏览器访问接口的节点运营商，应在生产环境变更前确认是否已升级至v0.14.4版本，并仔细阅读官方发布的更新文档。ACINQ已对新版本进行PGP签名，建议部署前完成二进制文件完整性校验。

针对前端与Eclair后端交互的应用开发人员，应重新评估其构建和验证API请求的逻辑。由于本次更新改变了节点对请求来源的判断方式，需依据ACINQ提供的迁移指南调整集成策略，确保系统兼容性与安全性。