Bitcoin (BTC) BTCPay Server Acil 2.4.2 Yaması Yayınladı: Aktif Saldırı Tespit Edildi

Bitcoin Haberleri

Bitcoin (BTC) ödeme altyapısı Cuma günü ciddi bir güvenlik kriziyle karşı karşıya kaldı. Açık kaynaklı ve kendi kendine barındırılan bir ödeme işlemcisi olan BTCPay Server, kimliği belirsiz saldırganların kritik bir yazılım açığını aktif olarak sömürdüğünü kamuoyuna duyurdu. Proje, bu açığın fon kaybına yol açabileceğini belirterek yöneticileri derhal harekete geçmeye çağırdı. Açığı kamuoyuna duyuran Bitcoin Red Team adlı gönüllü güvenlik grubu, kısa süre önce 1.700 BTC'den fazla fonun çalındığı Coldcard saldırısının ardından açık kaynak projeleri sistematik olarak incelemeye başlamıştı. BTCPay Server'ın yayınladığı resmi uyarıda, en güvenli seçeneğin yönetici paneli üzerinden 2.4.2 sürümüne geçmek ve sunucu altbilgisinde sürüm dizesini doğrulamak olduğu vurgulandı. Anında yama uygulayamayan operatörlere ise güncelleme tamamlanana kadar hizmeti tamamen kapatmaları söylendi. Danışma belgesinde ayrıca macaroon'ların yenilenmesi, macaroons.db dosyasının yeniden oluşturulması, kimlik doğrulama dizelerinin döndürülmesi ve platform tarafından üretilen cüzdanlarda tutulan tüm coin'lerin transfer edilmesi tavsiye edildi. Saha raporları, saldırıların rastgele tarama yerine hedefli boşaltma operasyonları olduğunu gösteriyor. Foundation'ın kurucu ortağı ve CEO'su Zack Herbert, şirketin düğümlerinden birinin gece boyunca tamamen boşaltıldığını açıkladı. Topluluk üyesi Hodlonaut ise Citadel 21 Lightning düğümünün de boşaltıldığını bildirdi; ancak bu düğümün olası bir BIP-110 aktivasyonu çevresindeki ihtiyati tedbirler nedeniyle sınırlı bakiye içerdiği kaydedildi. Bu örüntü, saldırganların özellikle yüksek motivasyonlu Bitcoin meraklılarının ve altyapı geliştiricilerinin kullandığı araçlara odaklandığını ortaya koyuyor. Bu durum olayı sıradan bir hata uyarısının ötesine taşıyor: Daha geniş Bitcoin ekosistemi zaten donanım ve yazılım tedarik zincirlerine yönelik sofistike saldırılarla mücadele ederken, bu olay kendi egemen ödeme yığınının dayanıklılığını test ediyor. En az iki kamuoyuna açık boşaltılmış düğüm vakası ortaya çıkmış durumda; ancak proje resmi bir olay bilançosu yayınlamadığı için toplam etki hâlâ belirsiz. Bu boşluk, operatörleri merkezi bir tazminat süreci yerine hızlı yama uygulaması ve kimlik bilgisi döndürmeye bağımlı bırakıyor.

İkinci ve daha operasyonel boyut, BTCPay Server'ın kullanıcı tabanının önüne koyduğu azaltma adımları seti. Cuma günü yayınlanan kamuoyu bildiriminde ödeme işlemcisi, yöneticilere 2.4.2 sürümünü yüklemelerini ve otomatik güncellemenin başarılı olduğunu varsaymak yerine sunucu altbilgisinde derleme etiketini doğrulamalarını söyledi. Anında yama uygulayamayan ekipler için talimat son derece net: Sunucuyu kapatın ve yetkisiz erişimi engelleyin. Bildirim ayrıca kullanıcıların açığa çıkmış macaroon kimlik bilgilerini değiştirmelerini, macaroons.db dosyasını yeniden oluşturmalarını ve Lightning Network arka uçları tarafından kullanılan kimlik doğrulama dizelerini yenilemelerini talep ediyor. BTCPay içinde bir sıcak zincir üstü cüzdan oluşturan herkesin bu fonları taşıması ve yeni bir cüzdan oluşturması tavsiye ediliyor. Proje, açığın mekanizmasını, saldırıların başlangıç tarihini, etkilenen sunucu sayısını veya yapay zekanın herhangi bir rolünü açıklamadı. Bu kamuoyu bilançosu eksikliği olayın boyutunu ölçmeyi zorlaştırıyor, ancak aynı zamanda tehdit modellemesindeki daha geniş bir değişimin altını çiziyor. Mayıs ayında güvenlik araştırmacısı Taylor Hornby, Anthropic'in Claude Opus 4.8 modelini kullanarak dört yıllık bir Zcash zafiyetini ortaya çıkardı; bu açık sınırsız sahte ZEC üretimini mümkün kılabilirdi. Ağustos ayında Coldcard donanımının üreticisi Coinkite, 100 milyon doların üzerinde değerde çalınan Bitcoin ile bağlantılı bir firmware açığının yapay zeka destekli olarak keşfedildiğinden şüphelendiğini açıkladı. Salı günü ise Bitcoin swap sağlayıcısı Boltz, birkaç sömürü girişiminin ardından operasyonlarını durdurdu ve otomatik saldırıların geliştiricilerin yama uygulayabileceğinden daha hızlı zafiyet bulduğunu bildirdi. Aynı otomasyon tartışması, piyasalardaki AI Trading Bot yazılımlarını da çevreliyor; burada hız avantajları hızla operasyonel risklere dönüşüyor. Bakımcılar için yama ritmi, kimlik bilgisi hijyeni ve hızlı ifşa, özellik geliştirmesi kadar önemli hale geliyor. Bu yalnızca tek bir uygulamanın sorunu değil; hobi amaçlı düğümlerden ticari dağıtımlara kadar tüm kendi kendine saklama yığınının bir stres testi.

COINOTAG'ın değerlendirmesi bu gelişmeleri tek bir temaya bağlıyor: Bitcoin (BTC) yığını, güvenilirliği ideolojinin değil güvenlik operasyonlarının belirlediği bir aşamaya giriyor. Buradaki birincil kayıt, BTCPay Server'ın kendi danışma belgesi; bu belge kullanıcıları açıkça 2.4.2 sürümünü yüklemeye, gerekirse düğümleri kapatmaya, macaroon'ları değiştirmeye, macaroons.db dosyasını yeniden oluşturmaya, Lightning kimlik doğrulama dizelerini yenilemeye ve sıcak cüzdan fonlarını taşımaya yönlendiriyor. Belge nihai bir kayıp rakamı veya sunucu sayısı sunmuyor, bu nedenle doğrulanmış gerçekler sınırlı kalıyor. Bu kısıtlılık önemli. Operatörler için ders prosedürel nitelikte: Derleme doğrulaması yapın, kimlik bilgilerini döndürün ve hasarı değerlendirmeden önce açığa çıkmış cüzdanları izole edin. Piyasanın genellikle bir tüm zamanların zirvesi tarafından dikkat dağıtıldığı bir ortamda, bu olay saklama altyapısının hâlâ sistemin en kırılgan yüzeyi olduğunu hatırlatıyor.