إذا كنت تشغّل خادم LNbits، فتوقف عمّا تفعله وأطفئه. يوم الأحد، 8 نوفمبر، طلب المشروع القائم وراء نظام محفظة بيتكوين لايتنينغ المجاني ومفتوح المصدر من جميع المشغّلين إيقاف خوادمهم فورًا، إثر ما وصفه بموجة من الهجمات. وبعد يومين، لا يزال التحذير ساريًا، من دون إصدار أمني مستقر، أو تفسير علني للثغرة، أو إعلان من المشروع بأن الخطر قد زال. وما ظهر حتى الآن هو حزمة اختبار غير مخصّصة للاستخدام في بيئة الإنتاج، وليست حلًا للمشكلة.

ما الذي حدث يوم الأحد

ظهرت أولى علامات المشكلة نحو الساعة 12:33 بالتوقيت العالمي يوم الأحد، حين طلبت LNbits من المشغّلين تعطيل إضافة Paywall ريثما تتحقق من احتمال وجود خلل. Paywall إضافة تفرض رسوماً على المستخدمين قبل أن يتمكنوا من الاطلاع على المحتوى، وبدا التحذير حينها محدود النطاق. وبعد نحو 80 دقيقة، وسّع المشروع التحذير ليشمل كل خوادم LNbits، وطلب من جميع المستخدمين إيقاف خوادمهم فوراً، مشيراً إلى أن لديه عدداً من التصحيحات الأمنية التي يجب إصدارها. كما أوقف المشروع خدمته المستضافة، my.lnbits.com، ووعد بإعادتها خلال 24 ساعة، أي بحلول نحو الساعة 17:20 بالتوقيت العالمي يوم الاثنين، لكن الموعد مرّ من دون إشعار بإعادة تشغيلها. ويكشف هذا التصعيد قصته بحد ذاته: أياً كان ما اكتشفه المهاجمون، فهو لم يقتصر على إضافة واحدة.

تأتي أوضح خسارة مؤكدة من كيفن رافنسبيرغ، الذي يدير خدمة الإكراميات BitTipBot على تيليغرام. أنشأ المهاجمون حسابات جديدة على خادم LNbits الذي يديره، وسحبوا 2,285,545 ساتوشي، أي نحو 0.023 بيتكوين أو ما يقارب 1,700 دولار وفق أسعار يوم الأحد، بين الساعة 09:22 و14:00 بالتوقيت العالمي في 8 نوفمبر. وهذا يعني أن الهجوم استمر لأكثر من ثلاث ساعات قبل صدور التحذير الأول، وكان لا يزال جارياً حين وصل إشعار الإيقاف. وقال رافنسبيرغ إنه سيعوّض المستخدمين المتضررين من ماله الخاص، مع أن الأموال مجمّدة إلى حين تسوية ملابسات الحادثة. ولم تذكر LNbits عدد الخوادم التي تعرضت للهجوم أو إجمالي المبلغ المسروق، وقد لا يُعلن هذا الرقم أبداً.

التصحيح متأخر، ونسخة الاختبار ليست هي الحل

قدّر مطوّر LNbits بن آرك يوم الأحد أن التصحيحات ستُدمج وتصبح متاحة خلال 24 إلى 48 ساعة، ما يعني توقع صدورها بين ظهر الاثنين ونحو الساعة 14:00 بالتوقيت العالمي اليوم. وقد انقضت هذه المهلة الآن. وما ظهر فعلياً هو تغييران أمنيان دُمجا في فرع التطوير في 9 نوفمبر، برقمَي 4310 و4313، ويعززان الحماية من تزوير الطلبات ويعطّلان إنشاء الحسابات الجديدة افتراضياً. ووصلت حزمة اختبار، الإصدار 1.7.0rc4، إلى PyPI اليوم عند الساعة 01:51 بالتوقيت العالمي، بعد إصدار مرشح سابق يوم أمس. لكن PyPI تصنّفها إصداراً تمهيدياً لا يزال قيد الفحص قبل إصدار نسخة مستقرة، ولا يزال GitHub يعرض v1.6.2 الصادر في 18 سبتمبر باعتباره أحدث إصدار مستقر. إن دمج التغييرات في فرع التطوير وإصدار نسخة مرشحة للتجربة يمثلان تقدماً، لكن أياً منهما ليس إصداراً مصححاً يمكن للمشغّلين تثبيته والوثوق به.

لم ينشر المشروع معرّف CVE أو نطاق الإصدارات المتأثرة، كما لم يُعلن للعموم عن طبيعة الثغرة أو الإضافة التي استُغلت. وقال رافنسبيرغ إن المطورين أكدوا له الإضافة التي استُخدمت لمهاجمة خادمه، لكن لا هو ولا المشروع سمّياها علناً. وهذا يترك المشغّلين في حيرة بشأن ما إذا كانت إعداداتهم قد تعرضت للخطر، وهو تحديداً ما يجعل إشعار الإيقاف القرار الصائب رغم ما يسببه من تعطيل. تشكّل LNbits طبقة الحسابات التي تعتمد عليها روبوتات الإكراميات وأجهزة الدفع وخدمات الدفع الصغيرة، لذا فإن كل ساعة تتوقف فيها هي ساعة تعجز فيها هذه الخدمات عن تحويل الأموال.

ما الذي يعنيه هذا وما الذي لا يعنيه

يشمل إشعار الإيقاف خوادم LNbits فقط. ولا يشمل عُقد Lightning، ولا يعني أن شبكة Lightning نفسها معطلة. استهدفت الهجمات إنشاء الحسابات والسحب في LNbits، لا برمجيات LND أو Core Lightning التي تعمل تحتها، كما أن محفظة Lightning العادية تختلف عن خادم LNbits. وهذا التمييز مهم، لأن حادثة كهذه قد تقنع الناس بأن الشبكة بأكملها غير آمنة، مع أن المشكلة في جزء واحد من البرمجيات يعمل فوقها. أصدرت LNbits نسخة أمنية في سبتمبر بعد تدقيق أجرته V12، لذا فالمشروع لا يتجاهل الأمن، لكن عمليات التدقيق لا تكشف كل شيء.

إذا كنت تدير خادم LNbits، فأبقِه متوقفاً إلى أن ينشر المشروع إصداراً مستقراً يتضمن التصحيح ويؤكد أن بإمكان المشغّلين إعادة تشغيل خوادمهم، ولا تعتمد في ذلك إلا على قنواته الرسمية. لا تُعد تشغيل الخادم باستخدام نسخة مرشحة للإصدار، وتحقق من أرصدتك قبل السماح للمستخدمين بالعودة. أما الجانب المقلق فهو التسلسل الزمني: استمر الهجوم لساعات قبل تحذير أي أحد، وبعد يومين لا يزال الإصلاح نسخة تجريبية. تقوم الثقة في برمجيات المحافظ مفتوحة المصدر على إصدار التصحيح، والكشف عن الثغرة، والتوضيح الصريح لمن تضرر. ولم تفعل LNbits ذلك بعد.

------- الكاتب: روان مارو، غرفة أخبار سياتل GlobalCryptoPress | أخبار العملات المشفرة العاجلة

اشترك في GCP عبر تطبيق لقراءة الخلاصات