BTCPay Server, Sıcak Cüzdan Boşaltma Bildirimleri Sonrası Kapatma Çağrısı Yaptı

Yetkisiz Boşaltmaların Ardından Kapatma Talimatı

BTCPay Server, tüccarların kendi donanımları üzerinde Bitcoin ödemesi kabul etmek için çalıştırdığı açık kaynak yazılım, 2 Kasım'da operatörlerine sunucularını çevrimdışıya almalarını söyledi. Gerekçe: birden fazla sunucuda, sıcak cüzdanlarda tutulan fonların yetkisiz biçimde alındığına dair bildirimler. Ekip, resmi X hesabından yaptığı paylaşımla ihbarları doğruladı ve bir örnek çalıştıran herkesin soruşturma tamamlanana kadar sistemi durdurulmuş halde tutmasını istedi; operatörler ./btcpay-down.sh komutuna yönlendirildi.

Açıklama, operatörlerin en çok ihtiyaç duyduğu ayrıntıları atlıyor. Ekip bir kayıp tutarı yayımlamadı, kaç sunucunun etkilendiğini belirtmedi ve bir nedene işaret etmedi. Talep yazılımın belirli bir sürümüyle sınırlı değil; düzeltilmiş bir sürüm de duyurulmadı. Yani talimat, tek dükkânlı bir tüccardan büyük kurulumlara kadar sahada bulunan her dağıtımı kapsıyor. Giriş noktası izole edilmediği için durdurma talebi, Lightning entegrasyonu kullanan dağıtımlar için de geçerli. İşlem tanımlayıcıları da yayımlanmadı; kayıpların bağımsız doğrulaması şimdilik imkânsız ve ekip soruşturmasının ne zaman biteceğini söylemiyor.

Sıcak cüzdan, özel anahtarları internete bağlı bir sunucuda saklar; böylece iade gibi giden ödemeler otomatik işlenebilir. Bu kolaylık iki yönlü kesiyor: sunucu ele geçirilirse erişimi olan kişi anahtara doğrudan ulaşır. BTCPay'in uygulaması işlemleri, sunucunun kendisinde tutulan bir tohum anahtarla imzalar; ihbarların işaret ettiği bileşen de tam olarak bu.

Ekim Yaması ve Ağustos'taki Lightning İhlali

BTCPay Server tasarımı gereği kendi kendine barındırılır. Her tüccar yazılımı kendi sunucusunda çalıştırır ve arada bir ödeme alıcısı olmadan Bitcoin ödemeleri kabul eder. Bu model, projeyi Bitcoin Maksimalizmi ile ilişkilendirilen kendi kendine saklama kanadının sabit unsurlarından biri yaptı. Aynı mimari, verilen yanıtı da açıklıyor: geliştiriciler bir düzeltmeyi tüm dağıtımlara aynı anda itemez, kapatma ve sonraki güncellemeler operatör operatör yürür.

Açıklama, ekibin 2.4.7 sürümünü yayımlamasından dört gün sonra geldi. Perşembe 29 Ekim'de çıkan bu acil sürüm, bir adet kritik açık ile birkaç orta düzey açığı kapatmıştı. Ekip, o sürümün güncel ihbarlarla bir bağlantısı olup olmadığını söylemedi; yeni bildirimler, yama sahada bulunurken geldi.

Olayın bir de emsali var. Ağustos'ta 2.4.2 öncesi sürümleri hedefleyen bir istismar, saldırganın Lightning ödeme düğümlerini çalıştıran LND yazılımının kimlik bilgilerini çalmasına ve BTCPay'e bağlı Lightning düğümlerindeki fonları boşaltmasına yol açmıştı. Lightning kanalları kendi anahtarlarını barındırdığı için çalınan kimlik bilgileri, saldırgana kanal bakiyelerini doğrudan harcama imkânı veriyordu. Ekip o dönemde, BTCPay içinde oluşturulan sıcak cüzdanlar da dahil olmak üzere zincir üstü cüzdanların bu açıktan etkilenmediğini belirtmiş, Ağustos'taki boşaltmalar yalnızca Lightning yolunu hedeflemişti. Güncel ihbarlarda adı geçen cüzdanlar ise tam da o zaman temizlenmiş kategoride duruyor. Bitcoin ağı da bu olaya karışmış değil: kayıplar sunucu tarafındaki anahtar saklamayı ilgilendiriyor, iş kanıtı mutabakatını değil. Bildirilecek merkezi bir operatör olmadığı için, ekip çalışırken sunabileceği tek koruma kapatma komutu. Sunucuları çalışır durumda tutan operatörler, bir neden tespit edilip düzeltme yayımlanana kadar bu riski kendileri üstlenmiş oluyor.

Verilen yanıtın biçimi, açıklamanın kendisi kadar şey söylüyor. Ağustos'ta ekip uyarısını 2.4.2 öncesi sürümlerle sınırlayabiliyor, diğerlerine de yamayı yükleyebiliyordu; bu kez kapatma talimatı tüm sürümleri kapsıyor ve bu, geliştiricilerin giriş noktasını henüz bilmediğine işaret ediyor. Ne bir olay sonrası raporu, ne saldırganın işlem tanımlayıcıları ne de düzeltme takvimi yayımlanmış değil; kayıplar zincir üstünde şimdilik doğrulanamıyor. Saklamalı platformlardaki ihlallerin bazen çok daha büyük olduğu görüldü; Bitwise'in yatırım direktörü (CIO) Matt Hougan, 6,3 milyar dolarlık Binance hack'i bile uzun vadeli yolu değiştirmediği yönündeki değerlendirmesiyle bunun örneklerinden biriydi. Ama kendi kendine barındırılan ödeme araçları, riski anahtarlarını kendi yöneten küçük tüccarların üzerinde yoğunlaştırıyor. Ekip bulgularını yayımlayana kadar neyin alındığı ve kaç sunucudan alındığı açıklanmamış durumda.