Core Lightning Uyardı: Saldırganlar Bitcoin (BTC) Düğümlerini Hedef Alıyor, 26.06.7 ve Öncesi Etkileniyor

Işık Ağı Düğümlerine Aktif Saldırı Sürüyor

Lightning Network'ün arkasındaki blok zinciri düğümü yazılımının açık kaynaklı uygulaması Core Lightning, Cuma günü yayımladığı uyarıyla operatörlere seslendi: saldırganlar 26.06.7 ve daha eski sürümleri çalıştıran düğümleri hedef alıyor. Ekip, 22 Eylül'den bu yana indirilebilen 26.06.8 sürümüne geçilmesi çağrısında bulundu; resmi açıklamada hâlâ eski sürümde kalan herkesin gecikmeden güncelleme yapması istendi. Uyarının ağırlığı, fonların nerede durduğundan geliyor: Lightning Network, Bitcoin (BTC) üzerine kurulan bir ikinci katman (layer-2) ödeme sistemi. Hızlı ve düşük maliyetli transferler ana zincirin dışında sonuçlanıyor ve günümüzde Bitcoin DeFi çatısı altında toplanan ödeme trafiğinin büyük bölümü bu kanallardan akıyor. Bitcoin fiyatını takip eden spot yatırımcılar içinse etki alanı net: ana zincirdeki, iş kanıtı (proof of work) ile korunan coinler saldırı kapsamının dışında; risk tamamen ödeme kanallarından geçiyor. Kendi Core Lightning düğümünü işleten operatörlerin güncellemeyi kendileri kurması gerekiyor, geri kalan kullanıcılar için tablo farklı. Arka plandaki hatalar operatörleri iki biçimde zarara uğratabiliyor: en kötü senaryoda hatalı bir kanal kapanışı, düğümün fonlarını karşı tarafa devredebiliyor; öbür açıklar ise düğümleri çökertip çevrimdışı bırakmaya yetiyor. Bu olay, bu çeyrekte ikinci katmanda Bitcoin (BTC) güvenliğine gelen en yeni baskı olarak kayıtlara geçiyor. Cüzdan uygulaması üzerinden Lightning'i kullanan çoğu kişi hiçbir zaman düğüm çalıştırmıyor; güncellemeyi de uygulama sağlayıcısı üstleniyor. Saklamalı (custodial) cüzdanlar coinleri kullanıcı adına tutuyor; böyle bir sağlayıcının düğümü fon kaybederse ilk darbeyi sağlayıcı yiyor ve geri ödeme, tamamen kendi kullanım koşullarına bağlı kalıyor, çünkü Lightning tarafında mevdiat sigortası yok. Kendi anahtarını tutan (self-custodial) cüzdan kullanıcıları kanal bakiyelerinin denetimini ellerinde tutuyor; yine de sağlayıcı düğümünün çökmesi ödemelerini geçici olarak kilitleyebiliyor.

26.06.8 Sürümü Neleri Değiştirdi

Yamanın ardında uzun bir iz birikimi var. Core Lightning ekibi 16 Eylül'de, kullanıcı fonlarını etkileyebilecek deneysel özelliklere ilişkin olası bir sorunun araştırıldığını duyurdu; yaklaşık altı gün sonra 26.06.8 çıkış yaptı. Sürüm notları, sorumlu bir biçimde bildirilen zafiyetlere yönelik düzeltmeleri sıralıyor ve Bitcoin (BTC) Red Team'in yanında 12 adını açıkça veren kişi ve gruba, artı anonim bildirim yapanlara teşekkür ediyor. Değişiklik günlüğü açık yüzleri tek tek sayıyor: göndericilerin düğümlerini çökertebilecek kusurlar, REST arayüzünde belleği tüketebilecek istekler ve kullanıcıyı cezaya kadar zarara uğratabilen bir kanal kapatma hatası. Ciddiyet hata başına değişiyor. Bir çökme, operatör müdahale edene dek düğümü çevrimdışı tutuyor; para hareket ettirebilen asıl açık ise kanal kapanışındaki kusur ve aciliyetin dayandığı da bu durum. Geliştiriciler bazı testleri bilerek dışarıda bıraktı; amaç, operatörler yükseltme yaparken tersine mühendisliği zorlaştırmaktı. Operatör için izlenecek adım kısa: çalışmakta olan sürümü tespit et, projenin son derlemesini indir ve kanallar yamalı kod altında kaldığından emin olmak için yeniden başlat. Yani 22 Eylül çıkışı, tam da bugün yaşanan senaryo için yazılmıştı. Perde arkasını Ağustos çizdi. Ekip o ayı, yapay zekâ tarafından üretilen yoğun hacimdeki Ortak Zafiyet ve Açıklık (CVE) raporlarını sindirerek geçirdi ve bu kusurları doğrulamasının iki gün ardından 26.06.7'yi yayımladı. Aynı dönemde saldırganlar, Lightning kimlik bilgilerini ele geçiren bir zafiyet üzerinden açık kaynaklı Bitcoin ödeme işlemcisi BTCPay Server'dan fon çaldı. Geliştiricilerin henüz söylemediği şey ise şu: saldırganların şu an istismar ettiği açık hangisi.

Yükseltme Penceresi Daralıyor

İşletme tavsiyeleri de netleşti. Blockstream uyarıyı kamuya duyurarak eski sürümde kalan herkese 26.06.8'i kurma çağrısında bulundu; Core Lightning ise operatörlere düğümlerini kapatmalarını değil, bunun yerine --offline parametresiyle yeniden başlatmalarını önerdi. Durdurulan bir düğüm blok zincirini izleyemediğinden bu parametre eş bağlantıları düşürüyor ama arka plan sürecini (daemon) zorla kapanışlara karşı gözetimde tutuyor. Kurulumun yanında ekip, operatörlerden imzaları ya da Docker özetlerini doğrulamalarını ve riski değerlendirinceye dek deneysel özellikleri devre dışı bırakmış halde tutmalarını istiyor.

Uyarı, 2 Ekim'de kamuya açık bir ek not kazandı: Core Lightning ekibi, X'te yamalanmamış düğümleri hedef alan saldırganlara dair raporlar aldığını yazarak, bu haberin başında anlatılan sonda (probing) faaliyetini doğruladı. Aynı hafta Ethereum altyapısında paralel bir olay yaşandı: MetaMask, 30 Eylül'deki bir güvenlik olayının stake (kilitleme ile ödül kazanma) operasyonlarının bir bölümünü etkilediğini, bunun üzerine Lido içinde işlettiği doğrulayıcıları (validator) çekmeye başladığını söyledi; MetaMask'a bağlı getiri artırma kasasını destekleyen doğrulayıcıların da ağdan çıktığını Linea doğrularken kasa fonlarının ve kontrolün sağlam kaldığı belirtildi. MetaMask 1 Ekim güncellemesinde cüzdanlara yönelik anlık bir tehdit ve müşteri fonlarına erişim belirtisi bulmadığını duyurdu; ancak Lido, çekilen tutarların muhtemelen ödül kaybı ve olası hareketsizlik cezaları anlamına geldiği, unstake edilen ETH'nin geri kazanımının 45 güne kadar sürebildiği ve etkilenen son doğrulayıcıların 7 Ekim'e dek ağdan ayrılacağı konusunda uyardı.

COINOTAG'ın okuması birincil kayıttan başlıyor: Core Lightning'in paylaşımı iki gerçeği doğruluyor, aktif hedefleme ve yükseltme talimatı; ama hiçbir mağdur, tutar ve istismar edilen açık ismi vermiyor. İşte bu sessizlik, hikâyenin açık ucu. Düğümler ödemeleri gerçek zamanlı yönlendirmek için anahtarlarını çevrimiçi tutuyor; güncel olmayan yazılımın saldırgana kanal fonlarına giden doğrudan bir yol açmasının nedeni tam da bu. Kayıt bir zaman aralığını da sabitliyor: saldırılar, yama çıkmasından yaklaşık 10 gün sonra görünür oldu. Yapay zekâ destekli hata keşfi bu boşluğu daraltmaya devam ederse belirleyici kısıt, yamanın kalitesi olmaktan çıkar ve gönüllü düğüm operatörlerinin güncellemeyi ne kadar hızlı kurduğu hâline gelir.