Bitcoin Core, büyük dil modellerinin kolayca yeniden keşfedebileceği güvenlik açıkları için düzeltmeleri ve açıklamaları hızlandırmak amacıyla güvenlik açıklama politikasını gözden geçirdi. Bu değişiklik, bu tür açıklar için aylarca süren gizlilik sürelerini sona erdirdi. Bakıcılar, değişikliği Perşembe günü birleştirdi. Öneriyi yazan Chaincode Labs geliştiricisi Antoine Poinsot, aynı gün Bitcoin Geliştirici E-posta Listesi aracılığıyla bu değişikliği duyurdu.
Poinsot, yakın zamanda kolayca yeniden keşfedilebilir güvenlik açıkları raporlarının arttığını söyledi. Poinsot, bu artışın büyük dil modellerinin belirli sınıflardaki açıkları ve gizli düzeltmeleri çok daha kolay tanımlamasına bağladı.
Bitcoin Core, Bitcoin ağındaki çoğu node üzerinde çalışır. Önceki politika, her bildirilen zafiyetin atanmış ciddiyetine göre açıklama zamanlamasını bağlıyordu. Düşük ciddiyetli zafiyetler, bir sonraki ana sürüm yayınlandıktan iki hafta sonra kamuoyuna açılırdı. Orta ve yüksek ciddiyetli zafiyetler, son etkilenen sürümün yaşam döngüsünün sonuna kadar gizli kalır ve bu da gizlilik süresini bir yıla kadar uzatabilirdi. Bu zaman çizelgeleri, yavaş yükseltme yapan birçok node operatörünün kamuoyuna açıklamadan önce düzeltilmiş yazılımı yüklemesine izin verirdi. Pratikte, eski desteklenen sürümler için düzeltmeler yayınlanmazdı ve bunlar yerine bir sonraki ana sürümde ortaya çıkarlardı. Poinsot, bu uzlaşmanın kolayca yeniden keşfedilebilir zafiyetler için işe yaramadığını savundu. Politika, bu tür zafiyetler için gizlilik süresinin, düzeltilmiş sürümün erişimini erteleyerek az bir fayda sağladığını belirtiyor.
Bitcoin Core, bir zafiyeti triaj sırasında kolayca keşfedilebilir olarak sınıflandırmayı artık sağlıyor. Bu kategori, büyük dil modellerine basit bir istek yoluyla dahil olmak üzere keşfedilmesi az çaba gerektiren zafiyetleri kapsıyor. Diğer yöntemlerle keşfedilen zafiyetler de bu kategoriye girebilir. Bitcoin Core, uygun zafiyetler için her desteklenen ana sürümde düzeltmeleri geri aktaracaktır. Bitcoin Core, mümkün olan en kısa sürede nokta sürümlerini yayınlayacaktır. Düzeltme yapılan yazılım kullanılabilir hale geldiğinde, Bitcoin Core bazı detayları içeren bir güvenlik bildirimi yayınlayacaktır. Poinsot, hızlandırılmış düzeltmelerin kullanıcılar tarafından alınmadan önce daha az test edileceğini kabul etti.
Yeterli koşulları sağlamayan zafiyetler, mevcut ciddiyete dayalı açıklama zamanlamasını korur. Kritik zafiyetler standart politikadan muaf tutulur ve bireysel şekilde ele alınır. Kritik zafiyetler, protokol seviyesinde para çalınmasına izin veren, para arzını artıran veya zinciri kalıcı olarak bölen hataları içerir.
Geliştirici Antoine Riard, bireysel durumlar gerekçeli olduğunda eşlik eden uyarılar olmadan düzeltmelerin izin verilmesini ve detayların saklanmasını önerdi. Poinsot, öneriyi reddetti. Poinsot, detaysız uyarıların, etkilenmeyen kullanıcıları aceleyle geçişe teşvik ederek gerekli olmayan şekilde riski artırabileceğini savundu.
Politika revizyonu, Bitcoin'in açık kaynak projeleri üzerinde artan baskıların aylarını takip ediyor. Temmuz sonunda, 16 geliştiriciden oluşan gönüllü bir grup olan Bitcoin Red Team, AI modellerini kullanarak yaklaşık bir günde 390 Bitcoin deposunu inceledi. Grup, 4.962 bulgu kaydetti ve bunların 85'i kritik olarak sınıflandırıldı. Günlükler içinde, grup tarafından özel olarak bildirilen bir BTCPay Server zafiyeti istismar edildi ve canlı satıcı sunucularındaki Lightning node'ları boşaltıldı. Ağustos'ta, Core Lightning geliştiricileri, AI tarafından üretilen zafiyet raporlarının doğru olduğu kanıtlandıktan sonra operatörlere yükseltme veya bağlantıyı kesme talimatı verdi.
Bitcoin Kırmızı Takımı'nın çalışması, Coldcard donanım cüzdanlarını içeren bir zafiyeti kullandı. Saldırganlar, 30 Temmuz'da 25 dakika içinde 594 BTC'yi boşalttı. Dört çekimden kaynaklanan kayıplar, neredeyse 114 milyon dolara ulaştı.