Биткоин инфрақұрылымы қайтадан қауіпсіздік назарының орталығына айналды. Бұл жолы дабыл сигналы Core Lightning (CLN) әзірлеушілерінен — Lightning Network төлем қабатының негізгі іске асыруларының бірінен келді. Жоспарлы техникалық қызмет көрсету барысында команда дереу әрекет етуді талап ететін бірқатар осалдықтарды анықтады. Түзетулері бар релиз қазірдің өзінде қол қойылып, таратуға дайын, алайда толық техникалық сипаттама екі аптадан кейін ғана жарияланады.
Контекст: биткоин инфрақұрылымына шабуылдар жиіледі
Blockstream компаниясы әзірлеп, 2018 жылдан бері негізгі желіде жұмыс істеп келе жатқан Core Lightning, сала инциденттер толқынын бастан өткеріп жатқан кезеңде злоумышленниктердің нысанасына айналды. Соңғы 10 күн ішінде команда жасанды интеллект көмегімен жасалған көптеген есептер алды. Шағын әзірлеушілер мен еріктілер тобы нақты багтарды ақпараттық шудан қолмен сүзгіден өткізді. Есептердің бір бөлігі расталды, бұл кәдімгі қызмет көрсетуді келісілген security-релизге айналдырды. Бастапқы жоспар — «жамауды» жеделдетілген режимде шығару — мұқият тәсілдің пайдасына қабылданбады.
Бұл биткоин инфрақұрылымы шабуылға ұшыраған жылдағы алғашқы жағдай емес. Бұған дейін тамыз айында BTCPay Server операторлары есептік деректерге қатысты эксплойтке байланысты шұғыл жаңарту қажеттілігі туралы ескерту алды. Ұқсас инцидент Coldcard әмиянында болды, онда осалдық бірнеше күн бұрын анықталған еді. Злоумышленниктердің әлсіз тұстарды іздеп желіні белсенді түрде сканерлейтіні анық.
Екі апталық кейінге қалдыру және операторларға төнетін қауіптер
Осалдықтардың мәліметтері әдейі ашылмайды. Жария есепке сәйкес, хакерлер жұмыс істейтін эксплойтты тез құрастыра алады, сондықтан команда алдымен түзетілген бағдарламаны шығарады, ал толық сипаттаманы жаңартудан кейін ғана жариялайды. Барлық жаңартуларға әзірлеушілер қол қойған, бұл құрастырудың қайталануын растайды және сыртқы бақылаушыларға релизді бастапқы кодпен салыстыруға мүмкіндік береді. Түзетулер анықталған осалдықтардың көпшілігін жабады.
Алайда қарапайым Lightning пайдаланушылары осал жағдайда: олардың төлемдері үшінші тараптар басқаратын түйіндер арқылы өтеді, ал жаңарту жылдамдығы толығымен операторларға байланысты. Бірден жаңарта алмайтындар үшін қосалқы нұсқа бар — түйінді уақытша өшіру. Бұл жағдайда ол желіден ажыратылады, бірақ фондық демон процесі блокчейнді бақылауды жалғастырып, төлем арнасы жабылған кезде іске қосылады.
Lightning танымалдылығының артуымен қауіптер де артады. Технологияны қазірдің өзінде кастодиалды емес мобильді әмияндарға және мессенджерлер ішіндегі төлемдерге енгізді, сондықтан маршруттаудағы ақау барған сайын көп пайдаланушыларға әсер етеді.
Blockstream бас директоры Адам Бэк биткоинді масштабтау бағыттары туралы жария пікірталастарға үнемі қатысады. Алайда оның дауысты мәлімдемелерінен айырмашылығы, байқалмайтын техникалық жұмыс сирек массалық аудиторияның назарын аударады. Жаңартусыз қалған және желіге қосылған нодтар бүкіл экожүйе үшін елеулі қауіп төндіреді.
Менің талдауым: Бұл жағдай децентралданған желілердің іргелі мәселесін көрсетеді — қауіпсіздік ең әлсіз буынға байланысты. Түйін операторлары тәртіп танытып, патчтарды ең қысқа мерзімде орнатпайынша, желі осал күйінде қалады. Бұл тіпті ең инновациялық технологиялар да қауіпсіздік гигиенасына тұрақты назар аударуды қажет ететінін еске салу.