توسعهدهندگان نرمافزار Core Lightning (نرمافزار مورد استفاده برای انتقال بیتکوین در شبکه لایتنینگ)، پس از سیل گزارشهای امنیتی تولیدشده توسط هوش مصنوعی که منجر به کشف چند آسیبپذیری واقعی شد، یک هشدار اضطراری برای اپراتورهای نود صادر کردند.
تیم Core Lightning از اپراتورها خواسته است دستگاههای خود را خاموش نکنند، بلکه نرمافزار را در حالتی به نام «offline–» راهاندازی مجدد (Restart) کنند؛ حالتی که ارتباط با سایر نودهای لایتنینگ را قطع میکند اما نرمافزار را فعال نگه میدارد.
شبکه لایتنینگ یک لایه روی بیت کوین است که به کاربران اجازه میدهد بیتکوین را بهصورت سریع و ارزان، بدون ثبت تکتک تراکنشها روی بلاکچین، منتقل کنند. نرمافزار Core Lightning یا به اختصار CLN، یکی از اصلیترین بستههای نرمافزاری است که برای اجرای رایانههای ارسالکننده و مسیریابیکننده این پرداختها استفاده میشود.
تیم Core Lightning اعلام کرد که تیم کوچک توسعهدهندگان آنها در اوایل ماه اوت تعداد زیادی گزارش آسیبپذیریِ تولیدشده توسط هوش مصنوعی دریافت کرده است. این گزارشها نقاطی را نشان میدهند که نرمافزار احتمالاً در آنها قابل حمله است و توسعهدهندگان باید بررسی کنند که آیا این نقاط ضعف در عمل نیز کارساز هستند یا خیر.
تیم توسعهدهنده تایید کرد که چند مورد از این آسیبپذیریها واقعی بودهاند. آنها جزئیات را به مدت دو هفته محرمانه نگه میدارند تا نرمافزار حاوی وصلههای امنیتی را آماده کنند؛ این کار به اپراتورها فرصت میدهد پیش از آنکه مهاجمان بتوانند تغییرات را تحلیل کنند، سیستمهای خود را بهروزرسانی نمایند.
تصویری از توصیه CLN روز پنجشنبه در شبکههای اجتماعی بیتکوین دستبهدست شد و دستخوش تغییراتی گردید. پیام اصلی از اپراتورهایی که امکان بهروزرسانی فوری نداشتند میخواست نودهای خود را با دستور offline– راهاندازی مجدد کنند، نه اینکه آنها را خاموش کنند. اما توسعهدهندگان بعداً تأکید کردند که اپراتورها نباید دستگاههای خود را خاموش کنند، زیرا نودی که از کار بیفتد دیگر نمیتواند از بیتکوینهای موجود در کانالهای پرداخت خود دفاع کند.
نودها چگونه کار میکنند؟
نحوه کار لایتنینگ به این صورت است که به دو شرکتکننده اجازه میدهد بیتکوین را در یک کانال پرداخت مشترک قفل کنند و دارایی هر طرف را بهطور مداوم بهروزرسانی نمایند. زمانی که آنها در نهایت کانال را میبندند، موجودی نهایی روی بلاکچین بیتکوین ثبت میشود.
یک نود باید مدام بلاکچین بیتکوین را زیر نظر داشته باشد تا در صورتی که طرف مقابل تلاش کرد کانال را با موجودی قدیمی و منقضیشده ببندد، متوجه شود. اگر چنین اتفاقی بیفتد، نود میتواند روی شبکه اصلی (On-chain) واکنش نشان داده و از سرمایه خود محافظت کند.
اما دستگاهی که کاملاً خاموش شده باشد، نمیتواند رخ دادن این اتفاق را ببیند.
راهاندازی مجدد Core Lightning با دستور offline–، ارتباط آن را با سایر نودهای لایتنینگ قطع میکند. در این حالت هیچ پرداختی ارسال، دریافت یا مسیریابی نمیشود، اما نرمافزار همچنان فعال میماند و به پایش بلاکچین بیتکوین ادامه میدهد.
تیم Core Lightning قصد دارد ابتدا نسخههای امضاشدهی نرمافزار اصلاحشده را منتشر کند تا اپراتورها بتوانند پیش از نصب، اصالت فایلها و صدور آنها از سوی تیم توسعه را تایید کنند. انتظار میرود کد منبع و جزئیات آسیبپذیریها پس از پایان مهلت دو هفتهای منتشر شود.
این پروژه هنوز افشا نکرده است که آسیبپذیریها چه اختیاراتی به مهاجم میدهند، چه تعداد از آنها در حال برطرف شدن هستند، یا اینکه آیا کسی تاکنون از آنها سوءاستفاده کرده است یا خیر. انتشار برنامهریزیشده و منظم نسخه 26.09 Core Lightning همچنان برای اواخر سپتامبر در نظر گرفته شده است.
این دومین وضعیت اضطراری امنیتی در شبکه لایتنینگ طی این ماه است.
در اوایل ماه اوت، وجود یک باگ در BTCPay Server باعث افشای اطلاعات اعتباریِ کنترلکنندهی نودهای لایتنینگ شد و مهاجمان پیش از انتشار وصله امنیتی، سرمایه برخی از آنها را تخلیه کردند. توسعهدهندگان BTCPay پس از آن حادثه اعلام کردند که هوش مصنوعی در حال تغییر توازن میان مهاجمان و مدافعان است و پاداشهایی را به پژوهشگرانی که این باگ را کشف کردند پرداخت نمودند.
در رویدادی جداگانه، گروه «بیتکوین رد تیم» (Bitcoin Red Team) متشکل از ۱۶ توسعهدهنده، در اواخر ژوئیه با استفاده از مدلهای هوش مصنوعی ۳۹۰ مخزن بیتکوین را بررسی کردند که در حدود ۲۷ ساعت کار، نزدیک به ۵,۰۰۰ یافته شامل ۸۵ مورد با درجه اهمیت بحرانی تولید شد. علاوه بر این در ماه اوت، گروهی شامل کوینبیس، بلاک، بیتگو، بلاکاستریم و موسسه سیاستگذاری بیتکوین، خواستار دسترسی زودهنگام به قویترین مدلهای آزمایشگاههای هوش مصنوعی شدند و استدلال کردند که توسعهدهندگان بیتکوین از ابزارهایی محروم ماندهاند که مهاجمان به هر حال به آنها دسترسی پیدا میکنند.
منبع: Coindesk
