Core Lightning, AI ile Oluşturulan Raporlarda Gerçek Hatalar Bulunduğunu Uyardı

Core Lightning, Bitcoin Lightning node uygulamalarının en yaygın olanlarından birinin arkasındaki ekip, AI tarafından oluşturulan bir dizi zafiyet raporunun gerçek sorunlara yol açmasının ardından acil bir güvenlik uyarısı yayınladı. Çarşamba günü X (Twitter) üzerinde yayımlanan bir gönderide, Core Lightning, otomatik CVE raporları tarafından işaretlenen birkaç sorunun geçerli olduğunu ve geliştiricilerin düzeltmeleri koordine ettiğini belirtti. Kullanıcılar, güncelleme yayımlandığında hemen yüklemeyi ve doğrulamayı teşvik edildi — ve hemen yükseltme yapamazlarsa, düğümlerini tamamen kapatmak yerine --offline bayrağıyla yeniden başlatmaları istendi. Düğümü neden sadece kapatmak değil? Core Lightning, önerilen bayrağın eşlerle bağlantıları devre dışı bırakıp gelen veya giden ödemeleri durdursa da, düğümün daemon’ını arka planda çalıştırmaya devam ettiğini açıkladı; böylece Bitcoin zincirini izlemeye devam edebilir. Bu arka plan izleme kritik önem taşır: Lightning Network kanalları kapanırken zincir üzerinde çözülür ve canlı bir düğüm, karşı taraf bir kanalı zorla kapattığında tepki verebilir. Kapatılmış bir düğüm bu tepkiyi veremez; bu nedenle ekip, düğümleri kapatmanın en kötü seçeneğe olduğunu belirtti. Proje, dışarıdan katkıda bulunanlarla birlikte küçük çekirdek ekibinin, birden fazla kaynaktan gelen büyük bir AI üretimi rapor kümesini incelemek için yaklaşık 10 gün harcadığını söyledi. Core Lightning başlangıçta hızlı bir nokta sürümü yayınlamayı planlıyordu, ancak imzalı, tekrarlanabilir ikili dosyaları dağıtmayı ve düzeltmeler tamamlanana ve kullanıcılar düğümlerini güncelleyene kadar teknik detayları en az iki hafta boyunca gizli tutmayı planlıyor. Ekip, onayladıkları hataların sayısını, bir saldırganın ne yapabileceğini veya herhangi bir istismarın gözlemlenip gözlemlenmediğini açıklamadı. Projeden pratik öneriler: - Yakında yayınlanacak sürümün imzalarını doğrulayın ve hemen yükleyin. - Hemen yükseltme yapamazsanız, ödemeleri ve eş bağlantılarını engelleyip zincir üzerinde izlemeyi sürdürmek için düğümünüzü --offline ile yeniden başlatın. - Eski sürümler (26.04 dahil) artık desteklenmeyecek; 26.09 sürümü son Eylül’de planlanmaktadır. Bu uyarı, AI destekli güvenlik araştırmalarının Bitcoin ekosistemindeki zafiyetleri ortaya çıkarmaya devam ettiği genel bir trendin içinde geliyor. Temmuz ayında donanımsal cüzdan üreticisi Coinkite, saldırganların Coldcard tohum üretimiyle ilgili bir zafiyeti bulduğunu ve bunun milyonlarca bitcoin çalınmasıyla bağlantılı olduğunu açıkladı. Bu ayın başlarında Boltz, saldırganların ekibin düzeltmeler yapmadan önce daha hızlı zafiyetler keşfettiği görününce hizmetlerini geçici olarak askıya aldı. Gönüllü Bitcoin Red Team, bu fenomenin ölçeğini kaydetmiştir: AI destekli incelemeleri 390 Bitcoin projesinde 4.962 olası bulgu üretti; bunlardan 85'i başlangıçta kritik, 635'i çok ciddi olarak değerlendirildi (bazıları yanlış pozitif olabilir). Takma adlı geliştirici ve Red Team üyesi Calle, Decrypt’e saldırganlardan önce zafiyetleri bulmayı amaçladıklarını söyledi: “Şu anda bu bir zaman meselesi,” dedi ve AI’nın geleneksel güvenlik eğitimi olmayan kişilerin end-to-end istismarlar oluşturması için engeli düşürdüğünü ekledi. Core Lightning’in mesajı açık: Bunun canlı bir güvenlik olayı olarak ele alınmasını istiyoruz. Yakında yayınlanan düzeltmeli ikili dosyaları hemen yükleyin ve doğrulayın ya da --offline kullanarak düğümünüzü güvenli tutun ve fonlarınızı zincir üzerinde korumaya devam edin — düğümleri sadece kapatıp kanalları izlenmemiş bırakmaktan kaçının. Topluluk ve diğer ekipler, iki haftalık gizlilik süresi içinde detaylar ve düzeltmeler yayılırken yakından takip edecekler.