BTCPay Server, dünya çapında binlerce bitcoin satıcısı tarafından kullanılan açık kaynaklı ödeme işlemcisi, saldırganların kritik bir zafiyeti kullanarak bağlı Lightning node’lardan fonları boşaltması üzerine 7 Ağustos'ta acil bir güvenlik uyarısı yayınladı. Bu hata, Lightning node kimlik bilgilerine yetkisiz erişim sağladı ve en az iki önemli bitcoin topluluğu üyesi, node’larının bir gece içinde boşaltıldığını doğruladı.
Popüler bir donanım cüzdan serisinin arkasındaki şirket olan Foundation ve Bitcoin yayını Citadel21'i yöneten hodlonaut, Lightning kanallarının zorla kapatıldığını ve fonların tamamen boşaltıldığını bildirdi. İlgili sıcak cüzdanları etkilenmedi, bu da saldırının BTCPay Server'ın Lightning node kimlik doğrulamasını nasıl işlediğine dair belirli bir noktaya odaklandığını gösteriyor.
Ne yanlış gitti
Zafiyet, Lightning node'unda işlemler yapma izni veren API anahtarları gibi çalışan macaroons adlı kimlik bilgilerine odaklanıyordu. Sorun, bu kimlik bilgilerinin kullanıcılar önceki yazılım güncellemelerini uyguladıktan sonra bile devam etmesiydi. BTCPay Server kurulumlarını dikkatlice güncelleyen operatörler, eski macaroons'un geçerliliğini koruması nedeniyle hâlâ maruz kalıyordu ve el ile kimlik bilgisi yenileme gerekiyordu.
BTCPay Server, uyarı ile aynı gün 2.4.2 sürümünü yayınladı ve NBXplorer arka ucunu 2.6.10 sürümüne yükseltme yönergesi verdi. Proje, tüm operatörlere daha fazla kayıp önlenmesi için hemen güncelleme yapmalarını veya sunucularını tamamen kapatmalarını söyledi.
Özellikle bu zafiyet, BTCPay Server'ın birkaç gün önce düzelttiği önceki bir kimlik doğrulama hatasından ayrıydı.
Kendi sunucuda barındırma paradoksu
Foundation, kullanıcıların Bitcoin'lerine maksimum kontrol sağlayacak şekilde tasarlanmış donanım cüzdanları üretir. BTCPay Server açıklarına karşı şaşırtıcı şekilde korumasız kalması, kendi sunucuda barındırılan bir yığının her katmanında sağlam güvenlik sağlamak ne kadar zor olduğunu gösterir.
Saldırı, aynı zamanda bitcoin altyapısı için daha geniş bir şekilde artan denetim dönemine denk geliyor. Son zamanlarda Coldcard firmware hataları, donanımlı cüzdan güvenliğini odak noktası haline getirdi ve Bitcoin Red Team, kritik bitcoin araçlarının AI destekli denetimlerini yürütüyor. Bu BTCPay zafiyetinin, denetim çabaları tarafından yakalanmadan önce aktif olarak istismar edilmesi, mevcut güvenlik inceleme sürecinin saldırı yüzeyiyle ne kadar iyi uyum sağladığını sorgulamaya sebep oluyor.
Fallout ve izlenecekler
BTCPay Server ve Bitcoin Red Team, istismarın ayrıntılı teknik analizlerinin yakında yayınlanacağını belirtti.
Bu zafiyetin özel mekanikleri, yazılım güncellemelerinden sốngan kalan kimlik bilgileri, kolayca gözden kaçırılabilecek bir zafiyet kategorisine işaret eder. Onarım, hemen açık olmayan ek bir el ile adım gerektirdiğinde, “güncellendi” ve “güvenli” arasında kalan boşluk, saldırganlar için bir avlanma alanı haline gelir.
Lightning etkinleştirilmiş daha eski BTCPay Server sürümlerini kullanan satıcılar durumu acil olarak görmelidir. Projenin, hemen bir güncelleme yapılamıyorsa sunucuları kapatma önerisi, açık kaynak geliştiricileri için olağanüstü açık bir tavsiyedir.