Lightning Labs revela un bug de Lightning que marcaba como pagadas facturas canceladas

Lightning Labs, la firma detrás de gran parte de la infraestructura de la red Lightning de Bitcoin, reveló un bug de Lightning de severidad alta que hacía que ciertas facturas canceladas apareciesen como pagadas. El fallo, presente en versiones antiguas de su software, podía inducir a comerciantes a entregar productos o acreditar saldos sin haber recibido nunca el pago.

El problema afecta a lnd, la implementación de nodo Lightning más usada, y a tapd, el demonio de Taproot Assets que permite emitir y transferir activos sobre Bitcoin. Según el aviso publicado por el equipo, la vulnerabilidad hacía que un HTLC (el contrato con bloqueo de tiempo que mueve fondos por la red) que había sido cancelado quedara registrado internamente como liquidado, un desajuste que rompe la suposición básica de todo cobro: que la factura marcada como pagada corresponde a dinero efectivamente recibido.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Cómo funcionaba el bug de Lightning

La red Lightning es una capa construida sobre Bitcoin para mover pagos de forma rápida y barata a través de canales entre nodos, sin registrar cada transacción en la cadena principal. En ese esquema, cada pago viaja como un HTLC que se liquida cuando llega el secreto correcto, o se cancela si algo falla en la ruta.

El error identificado por Lightning Labs alteraba precisamente ese último paso. En determinados escenarios, un HTLC cancelado quedaba marcado como settled (liquidado) en la contabilidad interna del nodo. El comerciante que consultara el estado de su factura veía un cobro confirmado que nunca ingresó. De acuerdo con el aviso de seguridad de la firma, un negocio en esa situación podría liberar la mercancía o acreditar fondos a un cliente sin contraprestación real.

El equipo clasificó la falla como de severidad alta. El riesgo no era el robo directo de bitcoin depositado, sino la posibilidad de que un atacante o incluso un cliente distraído provocara entregas gratuitas al confiar el vendedor en un estado de pago erróneo. Para un procesador de pagos o una tienda que automatiza la entrega según el estado de la factura, el impacto puede acumularse rápido.

Correcciones ya disponibles y a quién afecta

Las correcciones para lnd y tapd se distribuyeron durante 2025, por lo que los operadores que ejecutan versiones actualizadas ya están protegidos. El problema persiste en instalaciones que siguen corriendo software antiguo, un grupo que suele incluir a operadores de nodos que no aplican parches con regularidad.

La recomendación es directa: actualizar de inmediato a las versiones parcheadas y revisar la conciliación de pagos recientes, en especial en comercios que dependen de la confirmación automática de facturas para despachar bienes o servicios. Verificar manualmente los ingresos frente a los saldos de los canales ayuda a detectar cualquier discrepancia previa a la actualización.

La divulgación llega en un momento de mayor escrutinio sobre la seguridad de la infraestructura cripto. En las últimas semanas el sector ha encajado incidentes de mayor calado, como el hackeo a Bitget, que obligó a mover cientos de millones de dólares, o las alertas por movimientos sospechosos en plataformas de apuestas. En ese contexto, la práctica de divulgación coordinada de vulnerabilidades—reportarlas y parchearlas antes de hacerlas públicas—se ha vuelto un estándar entre los proyectos serios de Bitcoin.

Por qué importa para el ecosistema Lightning

Lightning se ha consolidado como la vía preferida para pagos minoristas en bitcoin, desde propinas hasta compras en comercios que integran la red. Ese uso comercial es justamente el que queda expuesto por un fallo que corrompe el estado de una factura: la confianza del vendedor descansa en que el software diga la verdad sobre el cobro.

El caso también subraya la dependencia del ecosistema respecto a un puñado de implementaciones de referencia. Con lnd operando en buena parte de los nodos de la red, un fallo en su lógica de liquidación tiene un alcance potencial amplio, lo que refuerza la importancia de mantener los nodos al día.

Para desarrolladores y comerciantes, la lección es conocida pero vigente: la actualización constante del software no es opcional en una red que mueve valor real. Lightning Labs no reportó pérdidas confirmadas asociadas al fallo, aunque el margen de error para quien siga usando versiones sin parche sigue abierto hasta que actualice.