BTCPay Server'daki Kritik Açık Lightning Node'larını Nasıl Boşalttı?

Bu makale, olanları, kimlerin etkilendiğini, operatörlerin hangi acil önlemleri alması gerektiğini ve o çalkantılı haftadaki daha geniş güvenlik ortamını ayrıntılarıyla açıklıyor.

BTCPay Server Güvenlik Açığı: API Kimlik Doğrulamasındaki Mantık Hatası

BTCPay Server'da sömürülen açık, harici entegratörler, otomatik sistemler ve cüzdan arka uçları tarafından kullanılan arayüz olan Greenfield API kimlik doğrulama katmanındaki bir mantık hatasıydı . Kritik olarak, bu hata, kimliği doğrulanmamış uzak bir saldırganın, Lightning Network node'larındaki izinleri yöneten erişim tokenları olan LND .macaroon kimlik bilgisi dosyalarını dışarı sızdırmasına izin veriyordu .

Saldırganlar macaroon kimlik bilgilerini ele geçirdikten sonra, bağlı LND node'unun tam kontrolünü ele geçirebiliyor ve kanal bakiyelerini boşaltabiliyorlardı . Güvenlik açığı, Bitcoin Kırmızı Takımı tarafından keşfedilmiş ve sorumlu bir şekilde ifşa edilmişti .

Önemli Uyarı: Bu, bir yazılım/uygulama katmanı hatasıydı. Bitcoin'in temel protokolü tehlikeye girmedi . Saldırı, Bitcoin blok zincirini veya Lightning Network protokolünü değil, kendi kendine barındırılan ödeme işlemcisinin kimlik doğrulama mantığını hedef alıyordu.

Kimler Etkilendi?

Güvenlik açığı, özellikle bir Lightning node'u işletmek için en yaygın kullanılan yazılım olan LND (Lightning Network Daemon) kullanan yapılandırmaları etkiledi .

• BTCPay Server'ı 2.4.2 sürümü öncesindeki herhangi bir sürümde (2.4.2 sürüm adayları dahil) LND ile çalıştıran tüccarlar, borsalar ve cüzdan arka uçları
• BTCPay'de oluşturulan sıcak zincir-üstü cüzdanlar da, bir saldırgan sunucunun tam kontrolünü ele geçirirse risk altındaydı
• LND çalıştırmayan veya Lightning'i hiç kullanmayan kullanıcılar, kimlik bilgisi sızdırma riskine maruz kalmadı

BTCPay çalıştıran birkaç tanınmış Bitcoin kuruluşu, Lightning node'larının boşaltıldığını doğruladı. Donanım cüzdanı üreticisi Foundation ve Bitcoin yayını Citadel21, doğrulanan mağdurlar arasındaydı .

Operatörlerin Alması Gereken Acil Önlemler

BTCPay Server ve baş geliştiricisi Nicolas Dorier, iki zorunluluk içeren acil bir uyarı yayınladı :

1. Hemen güncelleme yapın — Yönetici Paneli → Sunucu → Bakım → Güncelleme yoluyla BTCPay Server 2.4.2 sürümüne yükseltin ve alt bilgideki sürüm dizesini doğrulayın .
2. Hemen güncelleme yapamıyorsanız sunucuyu kapatın .

Ayrıca, operatörlere tüm LND macaroon kimlik bilgilerini iptal etmeleri ve yeniden oluşturmaları gerektiği söylendi, çünkü yamalamak yalnızca yeni kimlik bilgisi hırsızlığını durduruyordu. İstismar penceresi sırasında zaten çalınmış olan kimlik bilgileri geçerli kaldı ve fonları boşaltmak için hala kullanılabilirdi . Proje ayrıca, BTCPay'in cüzdan takip arka ucu olan NBXplorer'ın 2.6.10 sürümüne yükseltilmesini de önerdi .

Aynı Hafta Yaşanan Diğer Bitcoin Ödeme Katmanı Güvenlik Olayları

BTCPay istismarı, yaklaşık on gün içindeki ikinci büyük Bitcoin altyapı ihlaliydi. Her ikisi de Temmuz sonu ve Ağustos 2026 başında meydana geldi ve bazı basın organlarının Bitcoin'in "istismar haftası" olarak adlandırdığı durumu yarattı .

Coldcard Donanım Cüzdanı Yazılım Hatası (30 Temmuz – 3 Ağustos)

Coldcard bellenim sürümü 4.0.0'da Mart 2021'den beri var olan kritik bir güvenlik açığı, cihazın anahtar oluşturma sırasında özel donanım rastgelelik çipini atlamasına ve bunun yerine öngörülebilir bir yazılım alternatifi kullanmasına neden oldu . Bu, kurtarma ifadelerini (seed phrase) saldırganlar tarafından sayılabilir hale getirdi.

Saldırganlar bunu kullanarak, 30 Temmuz'da başlayan dört dalga hırsızlıkta 5.200'den fazla adresten 116 milyon doların üzerinde Bitcoin çaldı . Galaxy Research, zincir üstü hareketleri takip etti ve hatayı kullanan en az 15 farklı saldırgan tespit etti . Rapora bağlı olarak çalınan toplam miktar 116 milyon dolar ile 130 milyon dolar arasında değişiyordu .

Daha Geniş Kapsamlı Otomatik Güvenlik Denetimi (8 Ağustos)

Coldcard ve BTCPay olaylarına doğrudan bir yanıt olarak, gönüllü bir Bitcoin geliştiricisi grubu, AI araçlarını kullanarak koordineli bir güvenlik denetimi başlattı. 24 saat içinde, yaklaşık 400 projede yaklaşık 5.000 güvenlik açığı tespit ettiler ve durum "son derece kötü" olarak tanımlandı . Bulgular, çoğu proje sahipleri tarafından doğrulanmış olan 85 kritik ve 635 yüksek önem dereceli hatayı içeriyordu .

Bitcoin Operatörleri İçin Önemli Çıkarımlar

1. Kritik uyarılar yayınlandığında hemen yama yapın. BTCPay ekibi, aktif istismar konusunda şeffaftı, ancak bazı operatörler yamalamayı geciktirdi ve bu da doğrulanmış kayıplara yol açtı .
2. Kimlik bilgilerini iptal etmek, yama yapmak kadar önemlidir. Bir güvenlik açığını kapatan bir yama, önceden çalınmış kimlik bilgilerini geçersiz kılmaz. BTCPay güncellemesinden sonra, operatörler yine de tüm LND macaroon'larını iptal etmek ve yeniden oluşturmak zorundaydı .
3. Katman-2 güvenliği, katman-1 operatörünün dikkatine bağlıdır. Lightning Network protokolü tehlikeye girmemiş olsa da, BTCPay'in API'si aracılığıyla kimlik bilgilerinin ifşa edilmesi, kendi kendine barındırılan ödeme yazılımındaki zayıflıkların Lightning kullanıcıları için fon kayıplarına yol açabileceğini gösterdi .
4. Ekosistem kendi kendini denetliyor. 400 projede yaklaşık 5.000 güvenlik açığı bulan gönüllü liderliğindeki AI güvenlik denetimi, hem sorunun boyutunu hem de topluluğun bunu çözme istekliliğini gösteriyor .

BTCPay Server olayı ve paralel Coldcard istismarı, Bitcoin altyapı güvenliği için bir dönüm noktası niteliğindedir. Bu olaylar, açık kaynaklı Bitcoin ekosisteminde daha titiz kod incelemesi, otomatik güvenlik araçları ve daha hızlı yanıt protokolleri çağrılarını yoğunlaştırdı.