BTCPay Server'dan Büyük Hamle: Lightning Cüzdanı Saldırısının Ardından 190.000 Dolarlık Ödül Avı Başladı

Bitcoin ekosisteminin en popüler açık kaynaklı ödeme işlemcilerinden biri olan BTCPay Server, geçtiğimiz hafta yaşanan ve tüccarların Lightning cüzdanlarının boşaltılmasıyla sonuçlanan siber saldırının ardından, çalınan fonların iadesi için 190.000 dolar değerinde bir ödül programı başlattı.

Lightning Network Üzerinde Kimlik Avı ve Güvenlik Açığı

Saldırganların, Lightning Network Daemon (LND) kimlik bilgilerini ele geçirerek entegre tüccar cüzdanlarına sızdığı ve fonları doğrudan kendi adreslerine aktardığı doğrulandı. BTCPay Server yönetimi, çalınan varlıkların %10'unu (maksimum 3 BTC veya yaklaşık 190.000 dolar) kurtarılan fonlar karşılığında beyaz şapkalı hackerlara veya bilgi sahiplerine vermeyi taahhüt ediyor.

Protokol Güvenliğinde Kritik Zayıflıklar ve Alınan Önlemler

Yaşanan bu güvenlik ihlali, ikinci katman (Layer-2) ölçeklendirme çözümlerinin sıcak cüzdan (hot wallet) entegrasyonlarındaki riskleri yeniden gündeme getirdi. Olayın ardından atılan acil adımlar şu şekildedir:

■LND node'larının API erişim izinleri ve makaron (macaroon) kimlik doğrulama protokolleri derhal askıya alındı.

■Etkilenen tüccarlara, cüzdan anahtarlarını ve kimlik bilgilerini sıfırlama çağrısı yapıldı.

■BTCPay Server, platform genelinde daha sıkı bir güvenlik yaması yayınlayarak açığı kapattığını duyurdu.

Cem Talu olarak, bu siber saldırıyı salt bir hack olayı değil, Bitcoin'in mikro ödeme altyapısı olan Lightning Network'ün kurumsal adaptasyon sürecindeki bir "büyüme sancısı" olarak değerlendiriyorum. UTXO setlerindeki hareketlilik ve on-chain veriler, kurumsal fonların (ETF flows) bu tarz Layer-2 zafiyetlerinden doğrudan etkilenmediğini gösterse de, tüccar düzeyindeki güven kaybı likidite sağlayıcılarını kısa vadede temkinli olmaya itebilir. Güvenli saklama (custody) çözümlerinin çoklu imzalı (multi-sig) yapılara kayması artık bir lüks değil, zorunluluktur.