Yapay Zeka hata raporları, Bitcoin Lightning düğüm operatörleri için acil uyarı tetikledi

Lightning Network üzerinden bitcoin göndermek için kullanılan bir yazılım olan Core Lightning’in geliştiricileri, acil bir uyarı yayınladı bir dizi gerçek güvenlik açığını ortaya çıkaran yapay zeka destekli güvenlik raporlarının akınından sonra düğüm operatörlerine.

Core Lightning, operatörlere makinelerini kapatmamaları ve yazılımı “" adlı bir modda yeniden başlatmaları talimatını verdi.--çevrimdışı” yerine, diğer Lightning düğümleri ile iletişim kurmasını durduran ancak çalışmaya devam etmesini sağlayan.

Lightning Network, Bitcoin’in üzerinde yer alır ve kişilerin her bireysel ödemeyi blok zincirine kaydetmeden BTC’yi hızlı ve düşük maliyetle göndermesine olanak tanır. Core Lightning veya CLN, bu ödemeleri gönderen ve yönlendiren bilgisayarları çalıştırmak için kullanılan başlıca yazılım paketlerinden biridir.

Core Lightning, küçük geliştirme ekibinin Ağustos ayı başında büyük miktarda yapay zeka tarafından oluşturulan güvenlik açığı raporları almaya başladığını belirtti. Bu tür raporlar, yazılımın potansiyel olarak saldırıya uğrayabileceği alanları işaret etmekte olup, geliştiricilerin bu zayıflığın pratikte gerçekten işleyip işlemediğini kontrol etmesini gerektirmektedir.

Takım, birkaç kişinin yaptığını belirtti. Geliştiriciler, yazılımdaki düzeltmeleri içeren sürümü hazırlarken ayrıntıları iki hafta boyunca gizli tutuyor, böylece operatörlere saldırganların değişiklikleri incelemeden önce güncelleme yapmaları için zaman tanınıyor.

A CLN'nin tavsiyesinin ekran görüntüsü Perşembe günü Bitcoin sosyal medyasında yayıldı ve talimat, ilerledikçe şeklini değiştirdi. Orijinal mesaj, hemen yükseltme yapamayan operatörlere düğümlerini kullanarak yeniden başlatmalarını söyledi.--çevrimdışı, onları kapatmak için değil. Ancak geliştiriciler daha sonra vurguladı operatörlerin makinelerini kapatmaması gerektiği, çünkü çalışmayı durduran bir düğümün ödeme kanallarında bulunan bitcoinleri artık koruyamayacağı belirtiliyor.

Düğümlerin çalışma prensibi

Lightning, iki katılımcının bitcoin'i paylaşılan bir ödeme kanalına kilitlemesine ve kimin ne kadar sahibi olduğunu tekrar tekrar güncellemesine olanak tanıyarak çalışır. Kanal sonunda kapatıldığında, nihai bakiye Bitcoin üzerinde kaydedilir.

Bir düğüm, karşı tarafın eski bir bakiye kullanarak kanalı kapatmaya çalışması ihtimaline karşı Bitcoin blok zincirini izlemeye devam etmelidir. Böyle bir durumda, düğüm zincir üstü işlemle yanıt vererek fonlarını koruyabilir.

Ancak tamamen kapatılmış bir makine bunun gerçekleştiğini göremez.

--offline ile Core Lightning’i yeniden başlatmak, diğer Lightning düğümleriyle olan bağlantılarını keser. Ödemeler gönderilemez, alınamaz veya bu düğüm üzerinden yönlendirilemez, ancak yazılım çalışmaya devam eder ve Bitcoin’i izlemeye devam eder.

Core Lightning, yamalanmış yazılımın imzalı sürümlerini önce yayımlamayı planlıyor; bu sayede operatörler dosyaların geliştirici ekibinden geldiğini kurulumdan önce doğrulayabilecekler. Kaynak kodu ve güvenlik açıklarının detaylarının ise iki haftalık ambargonun ardından yayınlanması bekleniyor.

Proje, güvenlik açıklarının bir saldırgana ne gibi olanaklar sağladığını, kaç tanesinin düzeltildiğini veya herhangi birinin bu açıklardan yararlanıp yararlanmadığını açıklamamıştır. Planlanan Core Lightning 26.09 sürümü, Eylül ayı sonu için belirlenen takvime göre devam etmektedir.

Bu, bu ayki ikinci Lightning güvenlik acil durumudur.

Ağustos ayının başında, BTCPay Server'daki bir güvenlik açığı Lightning düğümlerini kontrol eden kimlik bilgilerini açığa çıkardı ve saldırganlar, düzeltme yapılana kadar bazı düğümlerden fonları çekti. BTCPay geliştiricileri, sonrasında yapay zekanın saldırganlar ile savunucular arasındaki dengeyi değiştirdiğini belirtti ve açığı bulan araştırmacılara ödül ödemeleri yaptı.

Daha fazla bilgi için: Bir Bitcoin altyapı açığı daha yaşandı, bu sefer Lightning ödeme sunucuları boşaltıldı

Ayrı olarak, 16 geliştiriciden oluşan Bitcoin Kırmızı Takımı, kullanılan yapay zeka modelleri Temmuz ayı sonlarında 390 Bitcoin deposunda tarama yaparak yaklaşık 27 saatlik çalışma sonucunda 85'i kritik derecelendirmeye sahip olmak üzere yaklaşık 5.000 bulgu elde etti. Ayrıca Ağustos ayında, Coinbase, Block, BitGo, Blockstream ve Bitcoin Policy Institute'u içeren bir grup, Bitcoin geliştiricilerinin saldırganların zaten ulaşabileceği programlardan dışlandığını savunarak, AI laboratuvarlarından en güçlü modellerine erken erişim talep etti.