Core Lightning Uyardı: Saldırganlar Bitcoin (BTC) Düğümlerini Hedef Alıyor, 26.06.7 ve Öncesi Etkileniyor

Işık Ağı Düğümlerine Aktif Saldırı Sürüyor

Lightning Network'ün arkasındaki blok zinciri düğümü yazılımının açık kaynaklı uygulaması Core Lightning, Cuma günü yayımladığı uyarıyla operatörlere seslendi: saldırganlar 26.06.7 ve daha eski sürümleri çalıştıran düğümleri hedef alıyor. Ekip, 22 Eylül'den bu yana indirilebilen 26.06.8 sürümüne geçilmesi çağrısında bulundu; resmi açıklamada hâlâ eski sürümde kalan herkesin gecikmeden güncelleme yapması istendi. Uyarının ağırlığı, fonların nerede durduğundan geliyor: Lightning Network, Bitcoin (BTC) üzerine kurulan bir ikinci katman (layer-2) ödeme sistemi. Hızlı ve düşük maliyetli transferler ana zincirin dışında sonuçlanıyor ve günümüzde Bitcoin DeFi çatısı altında toplanan ödeme trafiğinin büyük bölümü bu kanallardan akıyor. Bitcoin fiyatını takip eden spot yatırımcılar içinse etki alanı net: ana zincirdeki, iş kanıtı (proof of work) ile korunan coinler saldırı kapsamının dışında; risk tamamen ödeme kanallarından geçiyor. Kendi Core Lightning düğümünü işleten operatörlerin güncellemeyi kendileri kurması gerekiyor, geri kalan kullanıcılar için tablo farklı. Arka plandaki hatalar operatörleri iki biçimde zarara uğratabiliyor: en kötü senaryoda hatalı bir kanal kapanışı, düğümün fonlarını karşı tarafa devredebiliyor; öbür açıklar ise düğümleri çökertip çevrimdışı bırakmaya yetiyor. Bu olay, bu çeyrekte ikinci katmanda Bitcoin (BTC) güvenliğine gelen en yeni baskı olarak kayıtlara geçiyor. Cüzdan uygulaması üzerinden Lightning'i kullanan çoğu kişi hiçbir zaman düğüm çalıştırmıyor; güncellemeyi de uygulama sağlayıcısı üstleniyor. Saklamalı (custodial) cüzdanlar coinleri kullanıcı adına tutuyor; böyle bir sağlayıcının düğümü fon kaybederse ilk darbeyi sağlayıcı yiyor ve geri ödeme, tamamen kendi kullanım koşullarına bağlı kalıyor, çünkü Lightning tarafında mevdiat sigortası yok. Kendi anahtarını tutan (self-custodial) cüzdan kullanıcıları kanal bakiyelerinin denetimini ellerinde tutuyor; yine de sağlayıcı düğümünün çökmesi ödemelerini geçici olarak kilitleyebiliyor.

26.06.8 Sürümü Neleri Değiştirdi

Yamanın ardında uzun bir iz birikimi var. Core Lightning ekibi 16 Eylül'de, kullanıcı fonlarını etkileyebilecek deneysel özelliklere ilişkin olası bir sorunun araştırıldığını duyurdu; yaklaşık altı gün sonra 26.06.8 çıkış yaptı. Sürüm notları, sorumlu bir biçimde bildirilen zafiyetlere yönelik düzeltmeleri sıralıyor ve Bitcoin (BTC) Red Team'in yanında 12 adını açıkça veren kişi ve gruba, artı anonim bildirim yapanlara teşekkür ediyor. Değişiklik günlüğü açık yüzleri tek tek sayıyor: göndericilerin düğümlerini çökertebilecek kusurlar, REST arayüzünde belleği tüketebilecek istekler ve kullanıcıyı cezaya kadar zarara uğratabilen bir kanal kapatma hatası. Ciddiyet hata başına değişiyor. Bir çökme, operatör müdahale edene dek düğümü çevrimdışı tutuyor; para hareket ettirebilen asıl açık ise kanal kapanışındaki kusur ve aciliyetin dayandığı da bu durum. Geliştiriciler bazı testleri bilerek dışarıda bıraktı; amaç, operatörler yükseltme yaparken tersine mühendisliği zorlaştırmaktı. Operatör için izlenecek adım kısa: çalışmakta olan sürümü tespit et, projenin son derlemesini indir ve kanallar yamalı kod altında kaldığından emin olmak için yeniden başlat. Yani 22 Eylül çıkışı, tam da bugün yaşanan senaryo için yazılmıştı. Perde arkasını Ağustos çizdi. Ekip o ayı, yapay zekâ tarafından üretilen yoğun hacimdeki Ortak Zafiyet ve Açıklık (CVE) raporlarını sindirerek geçirdi ve bu kusurları doğrulamasının iki gün ardından 26.06.7'yi yayımladı. Aynı dönemde saldırganlar, Lightning kimlik bilgilerini ele geçiren bir zafiyet üzerinden açık kaynaklı Bitcoin ödeme işlemcisi BTCPay Server'dan fon çaldı. Geliştiricilerin henüz söylemediği şey ise şu: saldırganların şu an istismar ettiği açık hangisi.

Yükseltme Penceresi Daralıyor

COINOTAG'ın okuması birincil kayıttan başlıyor: Core Lightning'in paylaşımı iki gerçeği doğruluyor, aktif hedefleme ve yükseltme talimatı; ama hiçbir mağdur, tutar ve istismar edilen açık ismi vermiyor. İşte bu sessizlik, hikâyenin açık ucu. Düğümler ödemeleri gerçek zamanlı yönlendirmek için anahtarlarını çevrimiçi tutuyor; güncel olmayan yazılımın saldırgana kanal fonlarına giden doğrudan bir yol açmasının nedeni tam da bu. Kayıt bir zaman aralığını da sabitliyor: saldırılar, yama çıkmasından yaklaşık 10 gün sonra görünür oldu. Yapay zekâ destekli hata keşfi bu boşluğu daraltmaya devam ederse belirleyici kısıt, yamanın kalitesi olmaktan çıkar ve gönüllü düğüm operatörlerinin güncellemeyi ne kadar hızlı kurduğu hâline gelir.