CoinDesk
BTCPay Server, geçen hafta işletmelerin Lightning cüzdanlarından boşaltılan fonların iadesini sağlayacak bilgi veren herkese, geri alınan çalınmış bitcoin miktarının %10’u oranında, 3 BTC ile sınırlı (güncel fiyatlarla yaklaşık $190,000 değerinde) bir ödül sunuyor. Teklif, saldırgan da dahil olmak üzere herkese açık. Saldırganlar, LND Lightning node kimlik bilgilerini ele geçirip bağlı cüzdanları boşaltmalarına izin veren bir güvenlik açığından yararlandı; saldırıda donanım cüzdanı üreticisi Foundation ile bitcoin yayın kuruluşu Citadel21 de hedef alındı.
Neden önemli
Saldırı, Lightning node çalıştırmak için kullanılan baskın yazılım yığını LND’yi hedef aldı; bu da tehdit yüzeyinin BTCPay’in kendi kurulumlarının çok ötesine uzandığı anlamına geliyor. Kimlik bilgileri yönetimi zayıf olan ve LND çalıştıran her işletme aynı tür saldırıya açık. Bu güvenlik açığını, bu ay bitcoin kod tabanlarını taramak için yapay zekâ araçlarını kullanmaya başlayan ve yüzlerce projede binlerce bulgu raporlayan gönüllü grup Bitcoin Red Team tespit etti. Yapay zekâ destekli yeni araştırma temposu, keşif ile açıklama arasındaki süreyi kısaltıyor; ancak aynı araçlara, aynı tür açıkları arayan saldırganların erişimi de giderek kolaylaşıyor.
Piyasa etkisi
Foundation ve Citadel21 kayıpları doğruladı, ancak ne BTCPay ne de mağdurlar şu ana kadar toplam miktarı açıkladı. Proje, fonların izini sürmek için borsalar, blokzincir analiz şirketleri ve kolluk kuvvetleriyle koordinasyon sağlıyor; ayrıca etkilenen işletmeleri polise bildirimde bulunmaya ve varlıklarının büyük bölümünü soğuk depolamada tutmaya çağırıyor. BTCPay ayrıca sorumlu açıklama kapsamında geliştirici Craig Raw’a ve Bitcoin Red Team fonuna ayrı ayrı 0.21 BTC bağışlıyor. Olay, Lightning’in saklama hizmeti kullanmayan işletmeler için operasyonel açıdan hâlâ kırılgan olduğunu hatırlatıyor: her kimlik bilgisi sızıntısı tam kayıp anlamına geliyor ve kurtarma yolu Lightning kanalı üzerinden değil, zincir üstü analizden geçiyor.
Sıkça sorulan sorular
-
BTCPay kullanan işletmelere ne oldu?
Saldırganlar, LND Lightning node kimlik bilgilerini ele geçirip BTCPay kullanan işletmelere ait bağlı cüzdanları boşaltmalarına izin veren bir güvenlik açığından yararlandı. Donanım cüzdanı üreticisi Foundation ve bitcoin yayını Citadel21 de doğrulanmış mağdurlar arasında yer alıyor.
-
Ne kadar bitcoin çalındı?
BTCPay ve mağdurlar şu ana kadar toplam miktarı açıklamadı. Proje, kurtarılmasını sağlayacak bilgiler için 3 BTC’ye (~$190,000) kadar ödül sunuyor.
-
Bitcoin Red Team nedir?
Bu, bitcoin kod tabanlarını taramak için bu ay yapay zekâ araçlarını kullanmaya başlayan ve yüzlerce projede binlerce bulgu raporlayan gönüllü bir oluşum. Ekip, BTCPay’in yamaladığı LND kimlik bilgisi açığını açıkladı.
-
Ödül kimlere açık?
Yararlı bilgiye sahip herkes, saldırgan da dahil, başvurabilir. Birden fazla ihbar kurtarmaya yol açarsa ödül, kayıplara ve her ihbarın ne kadar işe yaradığına göre mağdurlar arasında bölüştürülür.
-
Lightning kullanan işletmeler şimdi ne yapmalı?
BTCPay, etkilenen işletmeleri polise bildirimde bulunmaya, fonların geçtiği hizmetlerle koordinasyon kurmaya ve varlıklarının büyük bölümünü sıcak Lightning cüzdanları yerine soğuk depolamada tutmaya çağırıyor.
Crypto Rank News
TheBlock
CryptoSlate
WuBlockchain