بٹ کوائن کور نے اپنی سیکیورٹی اعلان کی پالیسی میں ترمیم کی ہے تاکہ ان خامیوں کے لیے فوری اصلاحات اور اعلانات کیا جا سکیں جنہیں بڑے زبانی ماڈل آسانی سے دوبارہ دریافت کر سکتے ہیں۔ یہ تبدیلی ان خامیوں کے لیے ماہوں تک کے پابندیوں کو ختم کر دیتی ہے۔ مینٹینرز نے جمعرات کو اس ترمیم کو ضم کر دیا۔ پروپوزل کے مصنف، چین کوڈ لیبس کے ڈویلپر انتوان پوانسوٹ نے اسی دن بٹ کوائن ڈویلپمنٹ میلنگ لسٹ کے ذریعے اس تبدیلی کا اعلان کیا۔
پوانسوٹ نے کہا کہ حالیہ وقت میں آسانی سے دوبارہ دریافت ہونے والی سیکورٹی کمزوریوں کی رپورٹس میں اضافہ ہوا ہے۔ پوانسوٹ نے اس اضافے کا بڑا حصہ بڑے زبانی ماڈلز کو قابلِ شناخت کمزوریوں اور پوشیدہ فکسز کو پہچاننے میں آسانی کے لیے ذمہ دار ٹھہرایا۔
بٹ کوائن کور بٹ کوائن نیٹ ورک کے زیادہ تر نوڈز پر چلتا ہے۔ پچھلی پالیسی میں افشا کے وقت کو ہر رپورٹ کی گئی کمزوری کی شدت سے منسلک کیا گیا تھا۔ کم شدت والی کمزوریاں اگلے بڑے ورژن کے جاری ہونے کے دو ہفتے بعد عوامی طور پر جاری کی جاتی تھیں۔ درمیانی اور اعلیٰ شدت والی کمزوریاں تب تک سرپرست رکھی جاتی تھیں جب تک کہ آخری متاثرہ ریلیز کا مختتم ہونے کا وقت نہیں پہنچ جاتا، جس سے سرپرستی ایک سال تک بڑھ سکتی تھی۔ ان وقت کے تقاضوں کے ذریعے نوڈ آپریٹرز، جن میں بہت سے آہستہ اپ گریڈ کرتے ہیں، کو عوامی افشا سے پہلے درست شدہ سافٹ ویئر انسٹال کرنے کا موقع ملا۔ عمل میں، پرانے محفوظ ورژنز کے لیے درستگیاں جاری نہیں کی جاتی تھیں بلکہ وہ اگلے بڑے ورژن میں ظاہر ہوتی تھیں۔ پوانسو نے دلائل دیے کہ یہ معاہدہ آسانی سے دوبارہ دریافت ہونے والی کمزوریوں کے لیے کام نہیں کرتا۔ پالیسی کہتی ہے کہ اس قسم کی کمزوریوں کے لیے سرپرستی کا کوئی فائدہ نہیں ہوتا جبکہ درست شدہ ریلیز تک رسائی متعطل ہوتی ہے۔
اب بٹ کوائن کور کسی خطرے کو ٹرائیج کے دوران آسانی سے قابل دریافت کے طور پر درج کر سکتا ہے۔ یہ زمرہ ان خطرات کو شامل کرتا ہے جن کو دریافت کرنے کے لیے کم محنت درکار ہوتی ہے، جن میں بڑے زبانی ماڈل کو سیدھا سا سوال پوچھنا بھی شامل ہے۔ دیگر طریقوں سے دریافت ہونے والے خطرات بھی اس میں شامل ہو سکتے ہیں۔ بٹ کوائن کور تمام محفوظ بڑی ورژنز میں قابلِ اطلاق خطرات کے لیے فکسز کو بیک پورٹ کرے گا۔ بٹ کوائن کور جتنی جلدی ممکن ہو سکے پوائنٹ ریلیز جاری کرے گا۔ جب اصلاح شدہ سافٹ ویئر دستیاب ہو جائے گا، تو بٹ کوائن کور ایک سیکورٹی ایڈوائزر جاری کرے گا جس میں کچھ تفصیلات شامل ہوں گی۔ پوائنست نے تسلیم کیا ہے کہ تیز رفتار فکسز صارفین تک پہنچنے سے پہلے کم ٹیسٹنگ سے گزرنگے۔
جس قسم کی کمزوریاں اہل نہیں ہیں، ان کے لیے موجودہ شدت کے مطابق اطلاع دینے کا اوقات کا اطلاق رہے گا۔ اہم کمزوریاں معیاری پالیسی سے مستثنیٰ رہیں گی اور ان کا الگ سے انتظام کیا جائے گا۔ اہم کمزوریاں وہ ہیں جو پروٹوکول سطح پر کوائن چوری، کوائن کی فراہمی میں اضافہ یا چین کو مستقل طور پر تقسیم کرنے کی اجازت دے سکتی ہیں۔
ڈیولپر انتوان ریارڈ نے ایسے فکسز کو سپورٹ کرنے کا تجویز دیا جن میں متعلقہ ایڈوائزریز نہ ہوں اور جب انفرادی حالات کی ضرورت ہو تو تفصیلات کو چھپایا جائے۔ پوانسوٹ نے اس تجویز کو مسترد کر دیا۔ پوانسوٹ نے استدلال کیا کہ بغیر تفصیلات کے انتباہات غیر متعلقہ صارفین کو جلدی منتقل ہونے کے لیے مجبور کر سکتے ہیں، جس سے خطرہ غیر ضروری طور پر بڑھ سکتا ہے۔
پالیسی میں ترمیم بٹ کوائن کے اوپن سورس منصوبوں پر مہینوں کے بڑھتے دباؤ کے بعد ہوئی۔ جولائِ کے آخر میں، بٹ کوائن ریڈ ٹیم، جو 16 ڈویلپرز پر مشتمل ایک добخواہ گروپ ہے، نے تقریباً ایک دن میں 390 بٹ کوائن ریپوزٹریز کا جائزہ لینے کے لیے AI ماڈلز کا استعمال کیا۔ گروپ نے 4,962 دریافت کیں رکھیں، جن میں سے 85 کو انتہائی اہم قرار دیا گیا۔ کچھ دنوں کے اندر، حملہ آوروں نے BTCPay Server کی ایک کمزوری کا فائدہ اٹھایا جسے گروپ نے پہلے ہی خفیہ طور پر رپورٹ کر دیا تھا، جس سے لائیو مرچنٹ سرورز پر لائٹننگ نوڈز خالی ہو گئے۔ اگست میں، کور لائٹننگ ڈویلپرز نے آپریٹرز کو AI سے تخلیق کردہ کمزوری رپورٹس کے صحیح ثابت ہونے کے بعد اپ گریڈ یا منقطع ہونے کا حکم دیا۔
بٹ کوائن ریڈ ٹیم کا کام کولڈکارڈ ہارڈویئر والٹس کے ساتھ متعلق ایک ایکسپلوٹ پر مبنی تھا۔ حملہ آوروں نے 30 جولائی کو 25 منٹوں میں 594 بٹ کوائن خالی کر دیے۔ چار سویپس سے کل نقصان تقریباً 114 ملین امریکی ڈالر تھا۔