Intersect, Cardano (ADA) Havuz Operatörlerini 9,8 Şiddetindeki Linux Açığına Karşı Uyardı

Intersect'ten Havuz Operatörlerine Uyarı

Cardano (ADA) yönetişimini koordine eden Intersect, 30 Ekim Cuma günü hisse havuzu (stake pool) operatörlerine kritik bir Linux güvenlik açığı konusunda uyarı yayımladı. Açık, Cardano bloklarını üreten sunucuları çökertebiliyor, bazı yapılandırmalarda ise bu sunucuların kontrolünü dışarıdan ele geçirmeye izin veriyor. CVE-2026-98432 koduyla takip edilen zafiyet, 10 üzerinden 9,8 CVSS şiddet puanı taşıyor ve 4.4 sürümüne kadar geri giden çekirdekleri etkiliyor; ayrıntılar Intersect'in haftalık güncellemesinde yer alıyor. Blockchain altyapısını ayakta tutan makinelerin önemli bölümü Linux üzerinde çalışıyor ve açık, özel olarak hazırlanmış internet isteklerinin sunucunun bellek yönetimini karıştırmasına dayanıyor. Başarılı bir saldırı makineyi doğrudan çökertebiliyor ya da belirli yapılandırmalarda saldırgana şifre gerektirmeden tam erişim sağlıyor. 9,8 CVSS puanı, uzaktan ve düşük karmaşıklıkla istismar edilebilen açıklara ayrılan en şiddetli kategoriye denk geliyor.

Uyarının arka planında, Anthropic'in 27 Ekim Salı günü yayımladığı bir araştırma var. Şirket, Claude yapay zekâ sisteminin bu tür bir saldırıyı, tek bağlantının aynı anda birden fazla yol üzerinden ilerlemesini sağlayan çok yollu TCP özelliğini kullanan sunuculara karşı geliştirdiğini açıkladı. Otomatik sınamanın çalışır bir istismar kodunu 53 dakikada ürettiği, şirketin araştırma yazısında belirtiliyor. Ardından halka açık deneme kodları ortaya çıktı, ancak bunlar bir sunucunun tamamen ele geçirilmesini göstermeye yetmedi. Bugüne kadar Cardano (ADA) havuz altyapısına yönelik bir saldırı bildirilmedi ve piyasa verileri Cardano fiyatı üzerinde doğrudan bir etki oluşmadığını gösteriyor. Cardano'nun blok üreticilerinin çoğunluğu Linux sunucularında çalıştığı için duyuru sıradan yatırımcılar yerine operatörlere yapıldı. Konu muhasebe defterinin kendisini değil altyapı katmanını ilgilendiriyor; buna rağmen Intersect, ağın blok üretiminin tam olarak açığın hedeflediği türde Linux makinelerinden geçtiğini dikkate alarak konuyu haftalık koordinasyon güncellemesinde acil olarak işaretledi.

Ubuntu ve Red Hat'te Yamalar Gecikmeli

Maruziyet, hisse devri yani staking mekanizması üzerinden yayılıyor. Cardano'nun proof of stake tasarımında yatırımcılar, blok üreten ve ödül kazanan havuzlara coinlerini devrediyor ve şu anda yaklaşık 21,5 milyar ADA, yani dolaşımdaki arzın kabaca yüzde 58'i, ağ genelinde devredilmiş durumda. Bu düzende coinler asla sahibinin cüzdanından ayrılmıyor; Cardano'nun dokümantasyonu, devredilen ADA'nın her an harcanabilir durumda kaldığını açıkça belirtiyor. Bu nedenle ele geçirilmiş bir havuz, saldırgana devredenlerin coinlerinin sahipliğini vermiyor. Çevrimdışı duruma düşen havuz ise başka bir tablo yaratıyor: aynı dokümantasyon, havuzun düşük performansının havuzun ve üyelerinin aldığı ödülleri azalttığına dikkat çekiyor. Yani bu açık yüzünden çöken bir sunucu, asıl varlığa dokunmadan çok önce ödeme akışını zedeliyor. Uyarının önce operatörlere yapılmasının nedeni de bu ölçek: açığın zarar verdiği yer, yatırımcıların cüzdan güvenliği değil operatörlerin kesintisiz çalışma süresi.

Yamalar, operatörlerin fiilen kullandığı dağıtımlara eşit hızda ulaşmadı. Ana hat Linux, düzeltmeyi 5 Ekim Pazartesi günü aldı. Ubuntu 30 Ekim itibarıyla hâlâ savunmasızdı ve yama geliştirme aşamasındaydı; Red Hat Enterprise Linux'ta düzeltme bekliyor olarak listelendi; AlmaLinux ise yamalı çekirdekleri hâlâ test ediyordu. Bu yayılım önemli, çünkü havuz operatörleri tek bir standart imaj kullanmıyor ve aynı açık farklı sunucularda farklı düzeylerde risk yaratıyor. Intersect, operatörlerin dağıtımlarının yamayı kapsadığını varsaymak yerine sunucularını kontrol etmeye, güncellemeleri uygulamaya ve yeniden başlatmaya çağrıda bulundu. Olay, geçen kasımda ayrı bir hatanın Cardano'yu kısa süre için iki zincire böldüğü dönemi hatırlatıyor; o olay da kullanıcı fonlarına zarar vermeden sonuçlanmıştı. Mevcut açığa bağlanan çalınan fon ya da kayıp ödül bildirisi yok ve gözler şimdi yamaların Cardano (ADA) havuz altyapısına ne kadar hızlı yayılmasına çevrildi; devredilen hacim, burada çalışma süresini doğrudan ekonomik bir soruna dönüştürüyor. Kurulumunu gözden geçirmek isteyen operatörler ve devredenler, havuz seçimi üzerine hazırladığımız Cardano stake havuzu rehberine başvurabilir.

Asıl belirsiz nokta fiilen maruziyet ve kayıtlar bu soruyu henüz netleştirmiyor. Çekirdek düzeltmesi 5 Ekim'de yayımlandı; ancak 30 Ekim itibarıyla Ubuntu ve Red Hat paketleri hâlâ yamasızdı ve bu, artık riski o dağıtımları çalıştıran operatörlerin üzerine yığıyor. Kaç Cardano blok üreticisinin düzeltmeyi uyguladığını gösteren yayımlanmış bir sayı yok; bu yüzden uyarı ile saldırıların yaşanmaması, şimdilik birbirini dışlamayan iki gerçek olarak yan yana duruyor. Olayın netleştirdiği, riskin biçimi: kustodi değil ödüller ve çalışma süresi, çünkü devredenlerin coinleri havuz sunucusuna ne olursa olsun kendi cüzdanlarında kalıyor. Yakın zamanda ana ağda bir ilk olarak 115.172 ADA'yı hazineye geri iade eden Intersect, artık farklı türde bir koordinasyon sınavıyla karşı karşıya.