BTCPay Server підтвердив, що зловмисники скористалися критичною вразливістю для крадіжки коштів у користувачів, які працювали на будь-якій версії нижче 2.4.2, і закликав операторів негайно оновитися.

Самохостований платіжний процесор Bitcoin випустив версію 2.4.2 для усунення вразливості. Проблема дозволяла неаутентифікованому віддаленому зловмиснику отримати файли облікових даних .macaroon для LND — поширеної реалізації Lightning Network.

Що повинні зробити користувачі BTCPay Server

Викрадені облікові дані могли надати зловмиснику повний контроль над нодою LND. Звідти атакуючий міг безпосередньо виводити кошти з ноди.

«Ми підтвердили, що зловмисники скористалися цією вразливістю. Постраждалі користувачі втратили кошти. Ми поки не публікуємо технічні деталі, оскільки операторам ще потрібен час на оновлення», — повідомила команда.

Стежте за нами в X, щоб отримувати останні новини в режимі реального часу

Ризик стосується конкретно розгортань з використанням LND. Інші конфігурації Lightning і користувачі без Lightning не стикаються з розкриттям облікових даних, хоча проект все одно закликав їх оновитися. Власні on-chain і гарячі гаманці BTCPay Server не зачеплені.

Операторам, які використовують LND, слід оновитися до версії 2.4.2 і LND 0.21.1 через панель обслуговування. Оновлення автоматично перегенерує macaroon-файли. Тим, хто не може оновитися негайно, рекомендовано відключити сервери.

Проект також рекомендував користувачам LND перевірити активність ноди на наявність незнайомих пірів, несподіваних закриттів каналів та платежів, які вони не здійснювали.

Ще один удар по біткоїн-самозберіганню

Розкриття відбулося після іншого великого інциденту безпеки. Galaxy Research підтвердила в п'ятницю, що з користувачів Coldcard викрадено 1 719 BTC на суму близько $111 млн. Компанія очікує, що загальні втрати перевищать $130 млн після верифікації незакритих випадків.

Жоден з інцидентів не торкнувся самого протоколу Bitcoin. Обидва натомість оголили слабкості в інструментах, створених навколо нього. 

Підпишіться на наш YouTube-канал, щоб дивитися експертні виступи керівників і журналістів

Джерело: BeInCrypto