Bitcoin (BTC) BTCPay Server Acil 2.4.2 Yaması Yayınladı: Aktif Saldırı Tespit Edildi

Bitcoin (BTC) ödeme altyapısının temel taşlarından biri olan BTCPay Server, cuma günü aktif olarak istismar edilen kritik bir yazılım açığını kamuoyuna duyurdu. Açık kaynaklı ve kendi kendine barındırılan (self-hosted) bir ödeme işlemcisi olan BTCPay Server, tüccarlar ve düğüm operatörleri tarafından yaygın biçimde kullanılıyor. Proje ekibi, söz konusu güvenlik açığının fon kaybına yol açabileceğini belirterek yöneticileri derhal harekete geçmeye çağırdı. Açığı kamuoyuna duyuran Bitcoin Red Team adlı gönüllü güvenlik grubu, son dönemde Coldcard donanım cüzdanına yönelik ve 1.700 BTC'den fazla çalınan fonla ilişkilendirilen saldırının ardından açık kaynak projeleri incelemeye almıştı. BTCPay Server'ın yayımladığı resmi uyarıda, en güvenli adımın yönetici paneli üzerinden 2.4.2 sürümüne geçmek ve sunucu altbilgisinde sürüm dizesini doğrulamak olduğu belirtildi. Yama uygulanamayan durumlarda ise hizmetin tamamen kapatılması tavsiye edildi. Uyarı ayrıca macaroon'ların yenilenmesini, macaroons.db dosyasının yeniden oluşturulmasını, kimlik doğrulama dizgelerinin döndürülmesini ve platform tarafından üretilen cüzdanlardaki coin'lerin transfer edilmesini önerdi. Saha raporları, saldırıların rastgele tarama yerine hedefli boşaltma şeklinde gerçekleştiğine işaret ediyor. Foundation'ın kurucu ortağı ve CEO'su Zack Herbert, şirketin düğümlerinden birinin gece boyunca boşaltıldığını açıkladı. Topluluk üyesi Hodlonaut ise Citadel 21 Lightning düğümünün de boşaltıldığını bildirdi; ancak bu düğümün, olası bir BIP-110 aktivasyonu etrafındaki önlemler nedeniyle sınırlı bakiye tuttuğu aktarıldı. Bu örüntü, saldırganların özellikle yüksek motivasyonlu Bitcoin meraklıları ve altyapı geliştiricileri tarafından kullanılan araçlara odaklandığını düşündürüyor. Yaşananlar sıradan bir hata uyarısının ötesinde; kendi egemen ödeme yığınının (self-sovereign payments stack) dayanıklılığını test eden bir olay niteliğinde. Üstelik bu test, Bitcoin ekosisteminin zaten donanım ve yazılım tedarik zincirlerine yönelik sofistike saldırılarla boğuştuğu bir döneme denk geliyor. Şu ana kadar en az iki düğümün boşaltıldığı kamuoyuna yansıdı, ancak proje resmi bir hasar bilançosu yayımlamadığı için toplam etkinin boyutu belirsizliğini koruyor. Bu boşluk, operatörleri hızlı yama ve kimlik bilgisi döndürme gibi bireysel önlemlere bırakıyor; merkezi bir tazmin mekanizması mevcut değil.

Olayın ikinci ve daha operasyonel boyutu, BTCPay Server'ın kullanıcı tabanına sunduğu azaltma adımlarında gizli. Cuma günü yayımlanan kamuoyu bildirisinde ödeme işlemcisi, yöneticilere 2.4.2 sürümünü kurmalarını ve otomatik güncellemenin başarılı olduğunu varsaymak yerine sunucu altbilgisindeki derleme etiketini doğrulamalarını söyledi. Anında yama uygulayamayan ekipler için talimat net: Yetkisiz erişimi engellemek amacıyla sunucuyu kapatın. Bildiri ayrıca kullanıcıları, macaroon olarak bilinen ve açığa çıkmış kimlik bilgilerini değiştirmeye, macaroons.db dosyasını yeniden oluşturmaya ve Lightning Network arka uçları tarafından kullanılan kimlik doğrulama dizgelerini yenilemeye çağırıyor. BTCPay içinde bir sıcak zincir üstü cüzdan (hot on-chain wallet) oluşturan herkesin bu fonları taşıması ve yeni bir cüzdan oluşturması tavsiye ediliyor. Proje, açığın mekanizmasını, saldırıların başlangıç tarihini, etkilenen sunucu sayısını ya da yapay zekânın herhangi bir rol oynayıp oynamadığını açıklamadı. Bu bilgi eksikliği olayın boyutunu ölçmeyi zorlaştırıyor, ancak aynı zamanda tehdit modellemesindeki daha geniş bir kaymayı da gözler önüne seriyor. Mayıs ayında güvenlik araştırmacısı Taylor Hornby, Anthropic'in Claude Opus 4.8 modelini kullanarak dört yıllık bir Zcash zafiyetini ortaya çıkarmıştı; bu zafiyet sınırsız sahte ZEC üretimine imkân tanıyabilirdi. Ağustos ayında Coldcard donanımının üreticisi Coinkite, 100 milyon doların üzerinde çalınan Bitcoin ile ilişkilendirilen bir ürün yazılımı kusurunun yapay zekâ destekli keşfinden şüphelendiğini açıkladı. Salı günü ise Bitcoin swap (atomic swap) sağlayıcısı Boltz, birkaç istismarın ardından operasyonlarını durdurdu ve otomatik saldırıların geliştiricilerin yama uygulama hızından daha hızlı zayıflık bulduğunu belirtti. Benzer otomasyon tartışması, piyasalarda yapay zekâ alım satım botu (AI Trading Bot) yazılımları etrafında da sürüyor; hız avantajı kısa sürede operasyonel riske dönüşebiliyor. Bakım ekipleri için yama döngüsü, kimlik bilgisi hijyeni ve hızlı ifşa, özellik geliştirmek kadar kritik hale geliyor. Bu yalnızca tek bir uygulamanın sorunu değil; hobi amaçlı düğümlerden tüccar dağıtımlarına kadar tüm kendi kendine saklama (self-custody) yığınının stres testi.

BTCPay Server ekibi, açığın teknik detaylarını paylaşmamanın bilinçli bir tercih olduğunu açıkça teyit etti. Amaç, operatörler yamayı uygulayana kadar saldırganlara ek istismar vektörleri sunmamak. Proje ayrıca kesin güncelleme yolunu da yayımladı: Yönetici Paneli (Admin Dashboard) > Sunucu (Server) > Bakım (Maintenance) > Güncelle (Update). Böylece yöneticiler otomatik mekanizmalara güvenmek yerine doğru prosedürü izlediklerinden emin olabiliyor. Yazılım kendi kendine barındırıldığı için hiçbir merkezi taraf, bireysel operatörler adına düzeltmeyi devreye alamıyor; bu da tüm iyileştirme yükünü her bir düğüm sahibinin omuzlarına yüklüyor. Bu tutum, aktif olarak istismar edilen güvenlik açıklarında standart bir uygulamayı yansıtıyor: Yama penceresi kapanana kadar kamuoyuna sınırlı bilgi verilir, ardından acil tehdit ortadan kalktığında daha kapsamlı bir otopsi raporu yayımlanır.

(03:58 UTC itibarıyla) COINOTAG'ın analizi bu gelişmeleri tek bir temaya bağlıyor: Bitcoin (BTC) yığını, güvenilirliğin ideoloji değil güvenlik operasyonları tarafından belirlendiği bir faza giriyor. Buradaki birincil kayıt, BTCPay Server'ın kendi uyarısı; bu uyarı kullanıcıları açıkça 2.4.2 sürümünü kurmaya, gerekirse düğümleri kapatmaya, macaroon'ları değiştirmeye, macaroons.db'yi yeniden oluşturmaya, Lightning kimlik doğrulama dizgelerini yenilemeye ve sıcak cüzdan fonlarını taşımaya yönlendiriyor. Nihai bir kayıp rakamı ya da sunucu sayısı verilmediğinden, teyit edilmiş olgular sınırlı kalıyor. Bu ihtiyat önemli. Operatörler için ders prosedürel: Derlemeleri doğrulayın, kimlik bilgilerini döndürün ve hasarı değerlendirmeden önce açığa çıkmış cüzdanları izole edin. Piyasanın sıklıkla tüm zamanların en yüksek seviyesi (all-time high) gibi başlıklarla dikkati dağıldığında, bu olay saklama altyapısının hâlâ sistemin en kırılgan yüzeyi olduğunu hatırlatıyor.