CryptoSlate
ACINQ'nun Lightning düğüm uygulaması Eclair, bir düğümün aşırı madenci ücretleri yoluyla Bitcoin kaybetmesine yol açabilecek iki kusur için onarımı birleştirdi. İlki olan PR #3388, çift fonlamalı kanal açılışları ve splicing işlemlerinde karşı taraftan gelen replace-by-fee taleplerine üst sınır getiriyor: daha önce kötü niyetli bir karşı taraf, Eclair'in kendi cüzdan katkısını taşıyan işlemlere keyfi bir ücret oranı dayatabiliyordu ve kayıp saldırgana değil madencilere gidiyordu. İkincisi olan PR #3390, bitcoind'in işlemleri oluşturduğu ama anahtarların Eclair'de kaldığı Eclair-signer modunu hedefliyor. Ele geçirilmiş bir backend, bütçe içinde bir ücret bildirirken gerçekte daha fazla ödeyen bir işlem oluşturabiliyordu; örneğin para üstü çıktısını atarak, çünkü Bitcoin'in işlem muhasebesinde atanmamış her girdi değeri madenci ücretine dönüşüyor.
Neden önemli
Her iki açık da tek bir hatadan ziyade meşru protokol mekanizmalarından yararlanıyordu; bu da onları tespit etmeyi zorlaştırıyor: birinde düğüm, karşı tarafın belirlediği ücret oranını bilerek ödüyor; diğerinde kontrol ettiği ücret rakamı basitçe bir yalan. Bitcoin Optech'in 9 Ekim tarihli bülteni, her iki değişikliği de çift fonlama ve splicing yapılandırmalarındaki koruma açıklarını kapatmak üzere işaretledi. Bunlar, Eylül'deki iş birlikli kapanış ücreti kusurundan ve 2 Ekim'deki yeniden başlatma hizmet reddi sorunlarından ayrı.
Piyasa etkisi
Onarımlar 2 Ekim ve 5 Ekim'de master dalına birleştirildi; ancak 12 Ekim itibarıyla projenin sürüm sayfası hâlâ Eylül'ün v0.14.3 sürümünü en son paketlenmiş derleme olarak listeliyordu, yani Ekim düzeltmeleri ondan sonra geliyor. Eclair operatörleri, kurulu derlemelerinin Ekim değişikliklerini içerdiğini doğrulamalı; özellikle çift fonlama, splicing veya signer kurulumlarında.
Kayıp olayı bildirilmedi; düzeltmeler önleyici nitelikte. Pratikte yapılması gereken, derleme doğrulaması; çünkü bugün bu korumalara ulaşmanın tek yolu master dalındaki kodu çalıştırmak veya bir sonraki etiketli sürümü beklemek.
Sıkça sorulan sorular
-
Eclair'in Lightning yazılımında hangi kusurlar düzeltildi?
İki ücret sızdırma açığı: çift fonlamalı kanal açılışları ve splicing işlemlerinde sınırsız replace-by-fee yolu ile ele geçirilmiş bir Bitcoin Core backend'inin bildirdiğinden daha fazla ücret ödeyen işlemler oluşturabildiği Eclair-signer modundaki bir açık.
-
Kötü niyetli bir karşı taraf, ücretler üzerinden bir Eclair düğümünden nasıl çalabiliyordu?
Çift fonlamalı bir kanal açılışı veya splice sırasında karşı taraf, keyfi bir ücret oranıyla değiştirme işlemi talep edebiliyordu ve Eclair kendi cüzdan katkısını üst sınır olmadan bu oranda ödüyordu. Kayıp, saldırgana değil madencilere ücret olarak gidiyordu.
-
Eclair-signer modu açığı (PR #3390) nedir?
bitcoind coinleri seçip işlemleri oluştururken imzalama anahtarları Eclair'de kalıyor. Ele geçirilmiş bir backend, bütçe içinde ücret bildirirken gerçekte daha fazla ödeyen bir işlem oluşturabiliyordu; örneğin para üstü çıktısını atarak, çünkü Bitcoin'in işlem muhasebesinde atanmamış girdi değeri madenci ücretine…
-
Ekim ücret düzeltmelerini hangi Eclair sürümü içeriyor?
12 Ekim itibarıyla düzeltmeler yalnızca 2 ve 5 Ekim'de birleştirilen master dalında mevcuttu. En son paketlenmiş sürüm olan Eylül'ün v0.14.3'ü her iki onarımdan önce geliyor; bu yüzden operatörler kurulu derlemelerinin Ekim değişikliklerini içerdiğini doğrulamalı.
-
Bu kusurlar nedeniyle herhangi bir Eclair düğümü gerçekten boşaltıldı mı?
Kayıp olayı bildirilmedi. Bitcoin Optech'in 9 Ekim bülteni her iki değişikliği de koruma açıklarını kapatmak üzere öne çıkardı ve düzeltmeler, bilinen bir saldırıya yanıt olarak değil önleyici nitelikte.
WuBlockchain
WatcherGuru
TheBlock
CoinDesk
Altcoin Daily
Glassnode