BOLT11, yinelenen ödeme hash’i ve sırrı içeren faturaları reddedecek

Lightning Network’te kullanılan BOLT11 ödeme faturaları artık her birinden yalnızca bir tane ödeme hash’i ve ödeme sırrı içerecek. Faturayı okuyan yazılımlar, bu iki alandan biri eksikse veya yinelenmişse ödemeyi reddetmek zorunda.

Lightning teknik özelliklerinin tutulduğu depo, BOLT11 değişikliğini 19 Ekim’de birleştirdi. Yinelenen alanlardaki değerler aynı olsa bile istisna uygulanmayacak. Değişiklik, yazılımların faturaları farklı biçimlerde yorumlamasının önüne geçmeyi amaçlıyor.

BOLT11, Lightning Network üzerinden ödeme talep etmek için kullanılan bir biçim. Ödeme hash’i, ödeme için gereken bilgileri tanımlıyor. Ödeme sırrı ise Lightning ödeme rotasında alıcının keşfedilmesini engellemek için kullanılıyor. Faturalar çeşitli bilgiler içeriyor; bu değişiklikte ‘p’ ve ‘s’ alanlarının sayısı kontrol edilecek.

Sorun, yazılımların yinelenen ödeme hash’lerini farklı biçimlerde işlemesiydi. Bazıları ilk hash’i, bazıları sonuncusunu seçiyordu. Önceki BOLT11 standardı, ödeme yapan tarafa ilk hash’i kullanmasını tavsiye ediyor ancak yinelenen hash içeren faturaların mutlaka reddedilmesini şart koşmuyordu.

Lightning geliştiricisi Roasbeef, 10 Eylül’de değişiklik önerisini açıklarken Telegram’daki bir P2P botunun bu farklılıktan yararlanan bir saldırıya uğradığını bildirdi. Botun faturadan okuduğu hash ile düğümün ödemede kullandığı hash farklıysa, çekim tamamlandıktan sonra bile hizmet kayıtlarında ödeme yapılmamış görünebilir ve ek ödeme gerçekleşebilir. Saldırının ne zaman yaşandığı ve kayıp miktarı açıklanmadı.

Standart güncellenmeden önce Lightning düğüm yazılımı LND’ye de yinelenen ödeme hash’lerini reddeden bir düzeltme eklendi. Değişiklik 23 Eylül’de birleştirildi. Bitcoin Optech, LND’nin daha önce ilk hash’i kullandığını ve diğerlerini yok saydığını açıkladı. Faturayı okuyan başka bir yazılım farklı bir hash seçerse, tamamlanmış bir çekim ödenmemiş sanılabilir.

Her yazılımın uygulama kapsamı, standarttaki değişiklikten ayrı değerlendirilmeli. LND’de yinelenen ödeme hash’lerini reddeden değişiklik birleştirilmiş olsa da ödeme sırrı tekrarlarını reddetme gibi kod çözücü kontrollerini genişleten ayrı bir öneri 27 Ekim itibarıyla hâlâ açıktı. Standart değişikliği tek başına tüm Lightning hizmetlerinin aynı kontrolleri yaptığı anlamına gelmiyor.

Bitcoin Optech, hizmetlerin faturaları yorumlama biçimiyle düğümlerin ödemede kullandığı hash’in eşleşip eşleşmediğinin kontrol edilmesini ve çekim kayıtlarının düğümün kullandığı ödeme hash’ini izleyip izlemediğine bakılmasını önerdi.