Avviso di sicurezza Lightning: Alby rivela una vulnerabilità critica dell’hub

Il progetto Lightning Alby conferma una vulnerabilità critica nelle versioni precedenti di Hub

Mercoledì il team ha reso nota la questione sulla piattaforma social X, dichiarando: «Abbiamo confermato una vulnerabilità critica in Alby Hub v1.7.0–v1.18.5 (versioni precedenti ad agosto 2025) quando l’Hub è accessibile pubblicamente da Internet».

Questa vulnerabilità, ha scritto l’account ufficiale di Alby su X, potrebbe consentire a un malintenzionato in grado di raggiungere l’API di gestione dell’Hub di accedere senza autorizzazione e trasferire fondi. Alby ha proseguito:

“Alby Hub v1.19.0 (rilasciata il 29 agosto 2025) o versioni più recenti non sono interessate dal problema. Come in ogni incidente di questo tipo, siamo profondamente dispiaciuti — soprattutto nei confronti degli utenti coinvolti. In base alle informazioni di cui disponiamo attualmente, un utente è stato colpito dal problema e, fortunatamente, ci ha segnalato questi dettagli. Abbiamo dedicato tutte le nostre energie e risorse degli ultimi anni a questo progetto, e un problema come questo ci colpisce duramente.”

Per chi dovesse essere interessato dal bug, Alby consiglia agli utenti di verificare innanzitutto quale versione abbiano installato. Successivamente, se un utente utilizza una versione interessata dal problema, dovrà assicurarsi di bloccare l’accesso pubblico all’interfaccia di gestione del proprio Hub e aggiornare immediatamente alla v1.24.0, l’ultima versione di Alby Hub. Alby ha inoltre ringraziato gli sviluppatori del Bitcoin Red Team che “hanno segnalato diversi problemi, che sono stati risolti nell’ultima versione”.

Gli utenti interessati che sono stati esposti a Internet dovrebbero inoltre modificare la propria password di sblocco dopo l’aggiornamento. La notizia fa seguito al recente problema con Boltz, un altro protocollo incentrato sul Lightning Network che fornisce un bridge non custodito. La piattaforma essenzialmente trasferisce bitcoin tra la catena principale, Lightning Network e Liquid Network utilizzando swap atomici o “submarine”, basati su HTLC. Il 3 agosto 2026, Boltz ha sospeso gli swap.

Gli attacchi assistiti dall’IA mettono sotto pressione i progetti Lightning

All’epoca, l’azienda affermò che non si trattava semplicemente di un bug, ma di mesi di sondaggi automatizzati e assistiti dall’intelligenza artificiale (IA), seguiti da alcuni exploit circoscritti e poi da una brusca accelerazione. Come hanno affermato nel loro comunicato ufficiale, gli aggressori «ora agiscono più rapidamente di quanto un team delle nostre dimensioni riesca a individuare e correggere».

Dopo aver eseguito le proprie scansioni assistite dall’IA, il team di Boltz ha affermato di non poter riattivare in sicurezza gli swap mentre «diversi gruppi ingegnosi» li stavano prendendo di mira attivamente. Il fatto è che l’IA sta scoprendo bug in tutto l’ecosistema delle criptovalute più velocemente che mai nella storia.

Entrambi i progetti sono legati a Lightning, open-source e basati sul principio “you keep the keys”. Per il futuro, il team di Alby sottolinea che gli utenti devono utilizzare l’ultima versione dell’Hub. L’azienda ha inoltre raccomandato agli utenti di evitare di esporre il proprio Hub alla rete Internet aperta e pubblica. «Consigliamo di eseguirlo dietro un firewall o all’interno di una rete privata», ha sottolineato Alby.