Eski sürüm açığı sıcak cüzdan hırsızlığına yol açtı; Cobra yapay zekâ ve öz saklamadan endişeli

bitcoin.org alan adının takma adlı işletmecisi Cobra, yapay zekâdaki ilerlemenin ve piyasadaki düşüşün Bitcoin(BTC) için öz saklamayı daha zor hâle getirebileceği endişesini dile getirdi. Ona göre kötü niyetli kişilerin saldırı kapasitesi arttıkça özel anahtarları doğrudan yönetmek daha riskli ve zahmetli olabilir.

Bitcoin.com News, Cobra’nın X paylaşımını 15 Kasım’da haberleştirdi. Cobra, son düşüş döneminin sert geçtiğini ve Bitcoin sahiplerinin moralinin bozulduğunu yazdı.

Bu değerlendirme Cobra’nın piyasa ve güvenliğe ilişkin endişesini yansıtıyor. BTCPay Server’ın olay duyurusu saldırı yolunu eski bir yazılım sürümündeki açık olarak tanımladı ve yapay zekâyı neden olarak göstermedi.

Bitcoin’de öz saklama, varlık sahibinin kripto paralarını borsa gibi bir saklama kuruluşuna bırakmadan özel anahtarlarını kendisinin yönetmesi anlamına geliyor. Özel anahtarlar varlıklara erişmek ve işlemleri onaylamak için kullanılıyor.

bitcoin.org, öz saklamanın saklama kuruluşunun iflas riskini azaltırken anahtarları güvenli biçimde yönetme sorumluluğunu sahibine bıraktığını belirtiyor. Anahtarın kaybolması veya açığa çıkması, varlıklara erişimin yitirilmesine ya da başka kişilerin erişim sağlamasına yol açabilir.

Saklama kuruluşu kullanmak, anahtarları doğrudan yönetme yükünü azaltabilir. Bunun karşılığında varlık sahibi kuruluşun güvenliğine ve ödeme gücüne bağlı kalır.

BTCPay Server’a, sunucu sıcak cüzdanlarında tutulan Bitcoin ve Litecoin’in(LTC) çalındığına dair bildirim ulaştı. Bildirim 1 Kasım’da alındı, olay duyurusu 2 Kasım’da yayımlandı.

Sıcak cüzdan, varlıkları taşımak için gereken anahtarların internete bağlı bir sunucuda tutulduğu cüzdan türüdür. Anahtarlar çevrimiçi sunucuda bulunduğunda, sunucu yazılımındaki bir açık cüzdandaki varlıkları etkileyebilir.

Soruşturmada saldırı hedeflerinin 2.4.1 veya daha eski sürümleri çalıştıran sunucular olduğu belirlendi. 2.4.1 sürümü 23 Temmuz’da yayımlandı.

Saldırıda kullanılan açık 2.4.2 sürümünde giderildi. Bu sürüm 7 Ağustos’ta dağıtıldı.

Anahtarları sunucu dışında tutan donanım cüzdanları bu hırsızlıktan etkilenmedi. Olayda zararın kapsamını belirleyen unsurlardan biri, anahtarların sunucudaki sıcak cüzdanda mı yoksa sunucu dışındaki bir cihazda mı tutulduğuydu.

Bitcoin güvenlik incelemelerinde yapay zekâ kullanımına dair örnekler de bulunuyor. TokenPost, daha önce Bitcoin Red Team’in 150 kod deposunu inceleyip 10’dan fazla açığı projelere gizli biçimde bildirdiğini aktarmıştı.

Eski yazılım açıklarının cüzdan varlıklarının çalınmasına yol açtığı başka olaylar da yaşandı. TokenPost daha önce, COLDCARD’ın eski ürün yazılımındaki bir açığın kötüye kullanılmasıyla 1.600 Bitcoin’in çalındığını bildirmişti. Bu olay donanım cüzdanı ürün yazılımıyla ilgiliydi; hedef ve açık türü BTCPay Server’ın sunucu yazılımındaki açıktan farklıydı.

Olayla bağlantılı adreslerin tüm işlem hareketleri zarar tutarı olarak toplanamaz. Bu hareketlerin bir kısmı bildirimden önce gerçekleştiği için saldırıyla bağlantılı işlemler kesin olarak belirlenemiyor.

1 Kasım’daki uyarı sırasında 2.4.2 veya daha yeni sürümleri çalıştıran sunucularda bu saldırıdan kaynaklanan bir kayıp gözlemlenmedi. Duyuruda 2.4.1 veya daha eski sürümleri kullananlara kalan varlıklarını yeni bir cüzdana aktarmaları ve yeni bir sunucu kurmaları tavsiye edildi.