Bitcoin Lightning Network düğüm yazılımı projesi Core Lightning, 26.06.7 ve önceki sürümleri çalıştıran düğümlerin aktif olarak hedef alındığını duyurdu. 22 Eylül'de yayınlanan 26.06.8 güncellemesi, fonları tehlikeye atabilecek kanal kapatma açığı dahil olmak üzere kritik güvenlik açıklarını kapatıyor.
Bitcoin Lightning Network ekosisteminin önde gelen düğüm yazılımlarından Core Lightning (CLN), eski sürümleri çalıştıran operatörler için kritik bir güvenlik uyarısı yayınladı. Yazılım projesi, 26.06.7 ve daha önceki sürümleri kullanan düğümlerin aktif olarak hedef alındığını duyurarak, ağ katılımcılarına acilen 26.06.8 sürümüne yükseltme yapma çağrısında bulundu.
Güvenlik Yamasının Ardından Gelen Hedef Alma Operasyonu
Elements Projesi altında sürdürülen Core Lightning ekibi, ilk güvenlik yamasının yayınlanmasından yaklaşık 10 gün sonra aktif saldırı girişimleri rapor edildiğini belirtti. Takvim incelendiğinde, güvenlik açıklarını kapatan 26.06.8 sürümünün 22 Eylül tarihinde kullanıcıya sunulduğu görülüyor.
Süreç, ağustos ayı sonlarında yapay zeka destekli araçlar aracılığıyla tespit edilen yoğun bir hata raporu dalgasıyla başlamıştı. Core Lightning, 28 Ağustos civarında 26.06.7 sürümünü yayınlamış, 15 Eylül'de ise deneysel özelliklere yönelik yeni bir inceleme başlatmıştı. 21 Eylül'ü 22 Eylül'e bağlayan süreçte ise 26.06.8 sürümü çıkarıldı. Geliştiriciler, potansiyel saldırganların yazılımı tersine mühendislik ile analiz etmesini zorlaştırmak amacıyla bazı teknik detayları ve testleri bilinçli olarak bir süre kamuoyuyla paylaşmamıştı.
Kanal Kapatma Mekanizmasındaki Kritik Kusur
26.06.8 sürümünün kapattığı güvenlik açıkları arasında üç ana kategori öne çıkıyor. Bunlardan biri gönderici düğümün çökmesine yol açabilecek bir hatayı, diğeri ise Core Lightning'in REST arayüzü üzerinden bellek tüketimine sebep olabilecek bir problemi kapsıyor. Ancak en riskli başlık, kanal kapatma mekanizmasıyla ilgili.
Lightning Network'ün cezalandırma mekanizması, bir katılımcının eski bir kanal durumunu hileli bir şekilde yayınlaması durumunda dürüst tarafın ceza talep edebilmesine olanak tanıyor. 26.06.7 ve önceki sürümlerde yer alan bir kusur, Core Lightning'in belirli işlemleri sıradan bir kooperatif kapanış olarak algılamasına ve gizlenen iptal edilmiş taahhüdü gözden kaçırmasına neden olabiliyordu. Bu senaryoda hile yapan taraf cezalandırılamazken, diğer taraf fonlarını riske atabiliyordu.
Doğrulanan Durumlar ve Belirsizlikler
Şu ana kadar yapılan açıklamalarda, saldırganların hangi spesifik açığı hedef aldığı ya da herhangi bir fonun çalındığına dair doğrulanmış bir kayıp bildirisi bulunmuyor. Proje yetkilileri ve uyarıyı destekleyen Blockstream, saldırıların başarıya ulaştığına dair resmi bir kanıt sunmadı ancak tehdidin ciddiyeti nedeniyle acil güncelleme zorunluluğunun altını çizdi.
Bu güvenlik açığı doğrudan Bitcoin'in temel katmanını değil, yalnızca Lightning Network'ün bir implementasyonu olan Core Lightning yazılımını etkiliyor. LND, Eclair ve LDK gibi diğer Lightning uygulamaları bu uyarının kapsamına dahil edilmedi. Sıradan cüzdan kullanıcılarının doğrudan etki altında kalıp kalmadığı ise arkalarındaki altyapı sağlayıcılarının kullandığı düğüm yazılımına bağlı bulunuyor.
Lightning düğümlerinin ödemeleri gerçek zamanlı olarak yönlendirebilmek için kanal anahtarlarını sürekli çevrimiçi tutmak zorunda olması, eski yazılımlarla çalışmayı sadece bir sürdürülebilirlik sorunu olmaktan çıkarıp doğrudan bir güvenlik riskine dönüştürüyor. Yetkililer, 26.06.7 veya daha eski bir sürüm çalıştıran tüm operatörlerin imzaları veya Docker özetlerini doğrulayarak 26.06.8 sürümüne geçmesi ve riskleri anlamadıkları sürece deneysel özellikleri kapalı tutması gerektiğini vurguluyor.
