閃電網路付款遭取消卻顯示「完成」　商家恐先提供商品

閃電網路出現一項缺陷，已取消的比特幣(BTC)付款可能在收款節點內部被記錄為「付款完成」。若商家誤信錯誤的發票狀態，可能在尚未收到款項的情況下提供商品或額度。

閃電實驗室（Lightning Labs）21日透過官方安全公告，以「T1·High」等級披露這項問題。用於付款的HTLC雖已在網路上取消並退還給付款方，但收款節點的資料庫仍可能將發票保留在「settled」狀態。

HTLC是一種閃電網路付款合約，只有在符合既定條件時資金才會移動。

這項問題源自Taproot Assets實作tapd與閃電網路節點軟體lnd的缺陷共同運作。tapd會將包含自訂記錄的HTLC誤認為資產付款；lnd則在網路層面退還已取消的HTLC，卻將內部資料庫中的發票狀態更新為付款完成。

部分付款方實作會在一般比特幣付款中加入實驗性的endorsement TLV。若收款端啟用Taproot Assets發票攔截器，該記錄可能被當作資產付款處理，進而觸發問題。

攻擊者不必取得與商家直接連接的付款通道。即使未開啟資產通道，只要收款節點啟用相關攔截器，且付款方實作設定了問題TLV，缺陷仍可能被觸發。

不過，這並非付款方資金消失的缺陷。HTLC會正常退還給付款方，主要風險在於營運者或付款軟體根據虛假的付款完成狀態，提前提供商品或服務。

閃電實驗室的官方公告未列出實際受害規模或損失案例。因此，此次披露確認的核心風險並非資金遭竊，而是付款處理狀態與營運會計紀錄不一致。

受影響版本包括taproot assets v0.5.0以下版本、lnd 0.18.4-beta至0.18.5-beta，以及低於Lightning Terminal v0.15.0-alpha的版本。修正版分別為taproot assets v0.5.1、lnd v0.19.0-beta與Lightning Terminal v0.15.0-alpha。

Taproot Assets修正版於2025年2月12日發布。lnd的會計狀態錯誤則於同年5月22日的v0.19.0-beta中修正；Lightning Terminal自v0.15.0-alpha起已同時修復兩項缺陷。

閃電實驗室表示，已於2025年1月27日透過現場回報掌握問題。確認缺陷後，tapd與lnd分別發布修正版，但安全公告比修正版公開時間晚了逾一年。

這項缺陷並非比特幣區塊鏈的共識錯誤，而是付款處理軟體的網路狀態與內部會計狀態出現落差。問題核心在於，區塊鏈本身的交易確認狀態，可能與付款應用程式顯示的狀態不同。

將閃電付款用於商品銷售或服務提供的營運者，不應只確認發票狀態，也應一併檢查使用中的tapd、lnd、Lightning Terminal版本，以及資金是否實際完成移動。

對於難以更新軟體、且未使用資產通道的營運者，可暫時採用--taproot-assets-mode=disable作為緩解措施。不過，是否適用仍須依資產通道使用情況確認。

閃電實驗室此次公布了受影響版本與修正版。營運者應確認自身配置是否涉及相關版本，並檢查是否已套用修正版。