LNbits, 8 Kasım Saldırılarının Ardından Acil 1.7.0 Güvenlik Güncellemesini Yayımladı

8 Kasım Saldırıları Sonrası Acil 1.7.0 Yaması

Açık kaynaklı bir Lightning cüzdanı ve hesap platformu olan LNbits, 10 Kasım'da acil bir güvenlik güncellemesi olarak 1.7.0 sürümünü yayımladı ve tüm operatörlere sunucularını yeniden çevrimiçine almadan önce bu sürümü kurmaları talimatını verdi. Projenin resmi X hesabı yayını bir "GÜVENLİK GÜNCELLEMESİ" olarak tanımladı ve operatörleri değişiklik listesinin tamamı için GitHub sürüm notlarına yönlendirdi. Ben Arc tarafından 2019'da ücretsiz ve açık kaynaklı bir proje olarak kurulan LNbits, LND ve Core Lightning dahil herhangi bir Lightning fonlama kaynağının üzerinde çok kullanıcılı hesaplar ve geniş bir eklenti seti sunuyor; hem kendi sunucularında barındırma hem de yönetilen örnekler üzerinden kullanılabiliyor.

Saldırı hafta sonunda başladı. 8 Kasım'da, yani Pazar günü, proje kullanıcılarına sunucularını derhal durdurmalarını söyledi ve güvenlik yamaları hazırlanırken temkinli davranmayı tercih ettiğini açıkladı. LNbits, kendi barındırdığı hizmetteki tüm örnekleri de devre dışı bıraktı. Operatör raporlarında yetkisiz hesap açıldığı ve ardından kullanıcı bakiyelerinden para çekildiği anlatıldı. Telegram bahşiş servisi BitTipBot'u yürüten Kevin Ravensberg, saldırganların kendi örneğinde yeni hesaplar açtığını ve 8 Kasım'da yaklaşık 09.22 ile 14.00 UTC arasında 2.285.545 satoshi, kabaca 0,0229 Bitcoin (BTC) çektiğini bildirdi.

Sürümle birlikte yayımlanan resmi yükseltme rehberine göre 1.7.0 öncesindeki her sürüm etkileniyor ve eski sürümlerde çalışan fonlar çalınma riski taşıyor. Ekip, 1.7.0'ın 8 Kasım'da keşfedilen olaya karşı gelen düzeltmeleri içerdiğini doğruladı ve açığın teknik raporunun sonra sunulacağını söyledi. Duyuru, güvenlik açığının adını vermekten kaçınıyor; etkilenen örnekler boyunca toplam zarara dair hiçbir sayı da yayımlanmadı.

Anahtarların Yenilenmesi ve Ele Geçirilen Sunucuların Yeniden Kurulması

Yamayı kurmak ile bir ele geçirme olayından kurtulmak ayrı işler. LNbits, güncellemenin saldırganın çoktan edinmiş olabileceği erişimi otomatik olarak iptal etmediği uyarısını yaptı; yani saldırı penceresi içinde dokunulan bir sunucu, yamalı olsa bile güvensiz kalabiliyor. Rehber, ihlal şüphesi taşıyan operatörlerin önce günlükleri ve kayıtları saklamasını, ardından eski makineye güvenmek yerine 1.7.0 çalışan temiz bir sunucu kurmasını istiyor. Bu kayıtları korumak sonraki adli incelemeler için de önemli, çünkü söz verilen teknik rapor saldırı yolu kanıtlarına dayanacak.

Yeni sunucudan Super Admin'in her kullanıcı cüzdanının private key değerini yenilemesi gerekiyor; bu işlem eski anahtarı geçersiz kılıyor ve ona bağlı her uygulamanın yeni anahtarla güncellenmesi zorunlu. API anahtarları veya macaroon gibi fonlama kaynağı kimlik bilgilerinin kaynağında iptal edilip yeniden düzenlenmesi, sunucu ayarlarında saklanan diğer sırların da değiştirilmesi gerekiyor. NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat ve FOSSA dahil mevcut eklenti bağlantılarının sökülüp yeni kimlik bilgileriyle yeniden kurulması şart.

Sürüm notları kimlik doğrulama, eklenti yönetimi ve ödeme işlemleri genelinde sertleştirme ile bağımlılık güncellemelerinden söz ediyor; ancak saldırı yolunu kapatan spesifik değişiklik henüz açıklanmadı. 1.7.0 ayrıca yeni özellikler de getiriyor: zincir üstü cüzdan desteği, BOLT12 teklif ödemeleri, TOTP iki aşamalı doğrulama, NIP-17 desteği, bir iş zamanlayıcı, otomatik eklenti güncellemeleri ve LNbits fonlama kaynağı için askıda fatura desteği. SlowMist'in olay kaydı, aynı 2.285.545 satoshi tutarını tek örnekli zarar vakası olarak listeliyor; duyuru ise Bitcoin ağının veya Lightning protokolünün kendisinin ele geçirildiğine dair hiçbir bilgi vermiyor. Şu ana dek doğrulanmış hasar operatör sunucularında duruyor, protokol katmanında değil.

COINOTAG'ın okuması şurada: kök neden hâlâ açıklanmadı ve bu boşluk haberin en keskin tarafı. LNbits tasarımı gereği bir hot wallet gibi çalışıyor ve resmi rehber, operatörlerden yalnızca operasyonel bakiyeleri çevrimiçi tutmayı, fazlalığı çevrimdışı anahtarlara taşımayı istiyor. Söz verilen teknik rapor saldırı yolunu adlandırana dek her yamasız ya da yeni yamalı örneği canlı bir hedef gibi ele almak gerekiyor; yamanın bu yüzden tam bir kimlik bilgisi yenileme prosedürüyle birlikte geldiği anlaşılıyor. Fazla bakiyeler için Tangem Mobile Wallet gibi soğuk depolama çözümleri sunucuyu güven zincirinin dışına tamamen çıkarıyor; kullanıcının kendi tarafındaki aynı ilkeyi kripto varlıklarını koruma rehberimiz ele alıyor.