BTCPay Server'da Kritik Güvenlik Zafiyeti: Lightning Ağı Hed

BTCPay Server, Lightning Network (LND) yazılımındaki kritik bir güvenlik açığının istismar edilmesi sonucu, saldırganların düğüm kontrollerini ele geçirip fonları transfer edebildiği bir siber saldırı dalgasıyla karşı karşıya kaldı.

LND Protokolünde Kimlik Bilgisi İhlali

Saldırganlar, kimlik doğrulaması gerektirmeyen uzaktan erişim yöntemlerini kullanarak LND düğümlerini yönetmek için kullanılan "macaroon" adı verilen kritik kimlik dosyalarını ele geçirdi. BTCPay, riskleri minimize etmek adına halka açık uzaktan bağlantıları (Zeus gibi harici cüzdanlar üzerinden sağlanan bağlantılar dahil) geçici olarak kısıtlama kararı aldı.

Operatörler ve Kayıplar Mercek Altında

Saldırının doğrudan etkilediği kurumlar ve yaşanan kayıplar şu şekilde raporlandı:

■Foundation CEO'su Zach Herbert, Lightning kanallarının boşaltıldığını ve fonların çekildiğini teyit etti; ancak sıcak cüzdanların etkilenmediğini belirtti.

■Bitcoin yayın kuruluşu Citadel21, kendi Lightning düğümlerinin de sömürüldüğünü bildirdi.

■Toplam çalınan miktar ve etkilenen toplam operatör sayısı henüz resmi olarak açıklanmadı.

Bitcoin Altyapısında Artan Güvenlik Riski

Bu ihlal, Bitcoin ekosisteminin protokol seviyesinde değil, protokolü çevreleyen yazılım katmanlarında ciddi bir güvenlik açığı olduğunu bir kez daha kanıtladı. Olay, Coldcard donanım cüzdanında yaşanan ve 100 milyon dolardan fazla kayba yol açan zafiyetin ardından gelen yeni bir güvenlik dalgası niteliğinde.

Lightning Network gibi Layer-2 çözümlerinin kurumsal benimsenmesi, bu tür yazılım tabanlı zafiyetlere karşı aşırı hassas. On-chain verilerde kanal kapanışlarındaki düzensizlikler ve beklenmedik eşler (peers), altyapı güvenliğinin sadece protokol seviyesinde değil, uygulama ve implementasyon seviyesinde de acilen yeniden inşa edilmesi gerektiğini gösteriyor. Kurumsal sermaye, 'güvenli' kabul edilen yazılımların ne kadar kırılgan olduğunu gördükçe, self-custody (öz-denetim) yöntemlerinde daha katı standartlar arayacaktır.