بیت کوین کور (Bitcoin Core)، نرم‌افزاری که بخش عمده‌ای از شبکه بیت کوین بر پایه آن فعالیت می‌کند، دیگر برای انتشار اصلاحیه‌های امنیتی مربوط به آسیب‌پذیری‌هایی که هوش مصنوعی می‌تواند به‌راحتی دوباره کشف کند، ماه‌ها صبر نخواهد کرد. این تصمیم پس از آن گرفته شد که مسئولان نگهداری پروژه، روز پنجشنبه تغییراتی را در سیاست امنیتی آن تصویب کردند.
پیش از این، تیم بیت کوین کور هر آسیب‌پذیری گزارش‌شده را بر اساس شدت آن دسته‌بندی و زمان انتشار جزئیات را بر همین اساس تعیین می‌کرد. آسیب‌پذیری‌های کم‌خطر دو هفته پس از انتشار نسخه اصلی بعدی نرم‌افزار افشا می‌شدند. در مقابل، جزئیات آسیب‌پذیری‌های با شدت متوسط و بالا تا دو هفته پس از پایان عمر پشتیبانی از آخرین نسخه آسیب‌پذیر محرمانه باقی می‌ماند.
منطق این سیاست آن بود که انتشار بی‌سروصدای اصلاحیه و اعلام جزئیات آن در زمانی دیرتر، مانع از آن می‌شود که مهاجمان پیش از به‌روزرسانی نرم‌افزار توسط کاربران، از وجود حفره امنیتی مطلع شوند. این موضوع اهمیت زیادی دارد؛ زیرا نودها (Nodes)، یعنی رایانه‌هایی که تراکنش‌های بیت‌کوین را بررسی و به سایر بخش‌های شبکه منتقل می‌کنند، باید فرصت کافی برای نصب نسخه امن‌تر داشته باشند.
اما این قانون قدیمی بر اساس شرایطی طراحی شده بود که کشف یک باگ امنیتی به مهارت تخصصی نیاز داشت. گسترش ابزارهای هوش مصنوعی این روند را تغییر داده و کارایی روش قبلی را کاهش داده است.
آنتوان پوآنزو (Antoine Poinsot)، توسعه‌دهنده شرکت چین کد لبز (Chaincode Labs) که پیشنهاد تغییر سیاست را ارائه کرده است، در توضیحات خود نوشت:
اخیراً با افزایش تعداد گزارش‌های مربوط به آسیب‌پذیری‌های امنیتی مواجه شده‌ایم که کشف مجدد آن‌ها به‌سادگی امکان‌پذیر است.
او افزود که این مسئله تا حد زیادی به کاهش چشمگیر موانع کشف برخی دسته‌های آسیب‌پذیری یا شناسایی اصلاحیه‌های امنیتی پنهان، به‌واسطه مدل‌های زبانی بزرگ (LLM)، مربوط می‌شود.
سیاست امنیتی جدید بیت‌کوین کور چگونه کار می‌کند؟
بر اساس سیاست جدید، تیم بیت‌کوین کور می‌تواند هنگام بررسی اولیه گزارش‌های امنیتی، آسیب‌پذیری‌هایی را که کشف آن‌ها آسان است، در این دسته قرار دهد. در عمل، منظور آسیب‌پذیری‌هایی است که «می‌توان آن‌ها را با یک دستور ساده به مدل زبانی بزرگ کشف کرد».
برای این دسته از باگ‌ها، اصلاحیه به تمام نسخه‌هایی که همچنان تحت پشتیبانی بیت‌کوین کور هستند، منتقل خواهد شد. سپس نسخه اصلاح‌شده در قالب یک به‌روزرسانی جزئی، در سریع‌ترین زمان ممکن منتشر می‌شود. هم‌زمان نیز یک اطلاعیه امنیتی شامل بخشی از جزئیات آسیب‌پذیری در اختیار کاربران قرار می‌گیرد.
در متن سیاست جدید درباره روش قبلی آمده است:
برای آسیب‌پذیری‌هایی که کشف آن‌ها آسان است، این توازن تصمیم‌گیری درستی نیست. دوره محرمانه نگه‌داشتن اطلاعات دستاورد چندانی ندارد و صرفاً انتشار نسخه اصلاح‌شده را به تأخیر می‌اندازد.
البته این تصمیم یک نقطه‌ضعف نیز دارد. پوآنزو توضیح داده است که اصلاحیه‌ها پیش از انتشار برای کاربران، فرصت کمتری برای آزمایش و بررسی در شرایط واقعی خواهند داشت؛ فرایندی که در توسعه نرم‌افزار با اصطلاح «زمان جاافتادن» (Bake Time) شناخته می‌شود.
با این حال، همه توسعه‌دهندگان درباره میزان تغییرات موردنیاز اتفاق‌نظر نداشتند. آنتوان ریارد (Antoine Riard)، پژوهشگر باسابقه امنیت بیت‌کوین، پیشنهاد کرده بود که تیم همچنان بتواند در برخی موارد، اصلاحیه را بدون انتشار اطلاعیه امنیتی عرضه کند و جزئیات را متناسب با هر آسیب‌پذیری محرمانه نگه دارد.
اما پوآنزو با این پیشنهاد مخالفت کرد. او نوشت:
هشدار دادن به کاربران درباره یک آسیب‌پذیری امنیتی، بدون ارائه هیچ جزئیاتی، می‌تواند بی‌دلیل خطرات بیشتری ایجاد کند.
او همچنین به احتمال انجام مهاجرت‌های عجولانه از سوی کاربرانی اشاره کرد که در شرایط عادی اصلاً تحت تأثیر آن آسیب‌پذیری قرار نمی‌گرفتند.
افزایش کشف باگ‌ها با هوش مصنوعی؛ زنگ خطر برای زیرساخت بیت‌کوین
در اواخر ماه ژوئیه، گروهی داوطلب متشکل از ۱۶ توسعه‌دهنده با نام تیم قرمز بیت‌کوین (Bitcoin Red Team)، مدل‌های هوش مصنوعی را روی ۳۹۰ پروژه مرتبط با بیت‌کوین آزمایش کردند. این بررسی در حدود یک روز انجام شد و در نهایت ۴۹۶۲ مورد مشکوک به مشکل امنیتی شناسایی شد که ۸۵ مورد از آن‌ها در دسته آسیب‌پذیری‌های بحرانی قرار داشتند.
تنها چند روز بعد، یکی از آسیب‌پذیری‌های سرور بی‌تی‌سی‌پی (BTCPay Server) که این گروه به‌صورت محرمانه گزارش کرده بود، در سرورهای واقعی پذیرندگان مورد سوءاستفاده قرار گرفت. این حملات باعث سرقت دارایی از نودهای لایتنینگ (Lightning Nodes) شد؛ نودهایی که کسب‌وکارها برای دریافت پرداخت‌های کوچک بیت‌کوینی از آن‌ها استفاده می‌کنند.
همچنین، تیم کور لایتنینگ (Core Lightning)، یکی از پیاده‌سازی‌های اصلی شبکه لایتنینگ، پس از آنکه مشخص شد گزارش‌های تولیدشده با هوش مصنوعی درباره آسیب‌پذیری‌های نرم‌افزارش واقعی هستند، از اپراتورها خواست فعالیت نودهای خود را قطع کنند.
با این حال، یکی از بزرگ‌ترین خسارت‌های اخیر به باگی مربوط می‌شد که برای کشف شدن به هوش مصنوعی نیازی نداشت.
سرقت ۵۹۴ بیت‌کوین؛ آسیب‌پذیری قدیمی در کیف پول سخت‌افزاری
در ۳۰ ژوئیه، یک آسیب‌پذیری در میان‌افزار کیف پول سخت‌افزاری کُلدکارت (Coldcard) که از سال ۲۰۲۱ وجود داشت، به مهاجمان اجازه داد طی ۲۵ دقیقه، ۵۹۴ بیت‌کوین را به سرقت ببرند.
برآوردها نشان می‌داد که مجموع خسارت ناشی از چهار موج سرقت به حدود ۱۱۴ میلیون دلار نزدیک شده است. این اتفاق بار دیگر نشان داد که آسیب‌پذیری‌های قدیمی و کشف‌نشده همچنان می‌توانند تهدیدی جدی برای دارایی‌های دیجیتال باشند.
شرکت کُلدکارت هنگام انتشار اصلاحیه میان‌افزار خود اعلام کرد که هوش مصنوعی در جریان این فرایند به شناسایی باگ‌های بیشتری نیز کمک کرده است.
آیا سیاست جدید می‌تواند امنیت بیت‌کوین را افزایش دهد؟
تا زمان انتشار این گزارش، هنوز هیچ آسیب‌پذیری‌ای بر اساس سیاست جدید بیت‌کوین کور دسته‌بندی نشده است. با این حال، تغییر رویکرد این پروژه نشان می‌دهد که توسعه‌دهندگان دیگر نمی‌توانند صرفاً با محرمانه نگه‌داشتن جزئیات آسیب‌پذیری‌ها، از سوءاستفاده مهاجمان جلوگیری کنند.
در شرایطی که مدل‌های هوش مصنوعی می‌توانند با یک دستور ساده برخی باگ‌ها را دوباره کشف کنند، پنهان نگه‌داشتن اطلاعات برای مدت طولانی ممکن است دیگر راهکار مؤثری نباشد. به همین دلیل، بیت‌کوین کور تصمیم گرفته است در مواجهه با آسیب‌پذیری‌هایی که کشف آن‌ها آسان است، سرعت انتشار اصلاحیه‌های امنیتی را افزایش دهد؛ تصمیمی که تلاش می‌کند میان رفع سریع مشکلات و فرصت کافی برای آزمایش نرم‌افزار تعادل برقرار کند.
منبع: Coindesk
