BTCPay ostrzega sprzedawców: wyłączcie serwery po doniesieniach o atakach na gorące portfele

BTCPay Server, darmowe narzędzie open source, którego firmy używają do przyjmowania płatności w Bitcoinach, nakazał operatorom wyłączenie serwerów w niedzielę po doniesieniach, że atakujący opróżniali gorące portfele połączone z nimi.

„Otrzymujemy doniesienia o gorących portfelach na serwerach BTCPay, które są opróżniane przez nieuprawnionych atakujących” – napisał projekt na Twitterze o 17:25 czasu wschodniego. „Jeśli uruchamiasz instancję, wyłącz ją (./btcpay-down.sh), dopóki nie zakończymy dochodzenia”.

Około dwie godziny później założyciel BTCPay, Nicolas Dorier, powiedział, że doniesienia wydają się dotyczyć wersji starszych niż 2.4.2, a atakujący zalogował się na dotknięte serwery z uprawnieniami administratora.

Później w niedzielę projekt poinformował, że jego dochodzenie zidentyfikowało wektor ataku wymierzony w instancje z wersją 2.4.1, wydaną 23 lipca, lub starsze. „Nie mamy wiarygodnych doniesień o opróżnieniu gorących portfeli u użytkowników korzystających z najnowszej wersji 2.4.7” – podano, wzywając wszystkich do aktualizowania oprogramowania i prosząc dotkniętych użytkowników o przesłanie szczegółów i logów do zespołu ds. bezpieczeństwa.

Niektórzy dostawcy hostingu, w tym LunaNode, wyłączyli instancje BTCPay automatycznie, aby zapobiec wykorzystaniu starszych wersji – podał projekt. BTCPay nie podał, ile serwerów zostało dotkniętych ani ile Bitcoinów zabrano.

Gorące portfele i awaryjna aktualizacja BTCPay

Ponieważ BTCPay jest hostowany samodzielnie, każdy sprzedawca uruchamia oprogramowanie na własnym serwerze i nie ma centralnego operatora, który mógłby wyłączyć instancje. Sprzedawcy mogą zdecydować się na uruchomienie gorącego portfela, który przechowuje seed portfela na tym serwerze podłączonym do internetu, dzięki czemu może automatycznie podpisywać transakcje. Własna dokumentacja BTCPay oznacza tę funkcję jako „NIEBEZPIECZEŃSTWO” i ostrzega, że „wiąże się ona z implikacjami bezpieczeństwa”.

BitcoinBTC · USD

$78,016−2.88%

Oct 26Oct 28Oct 30Oct 31Nov 2

$81.8k$80.1k$78.4k$76.7k

24h HighHigh$78,728

24h LowLow$77,599

VolVol$636.6M

→

Kup Bitcoin za USDT

Obsługiwane przez Jupiter

Dane cenowe dostarcza CoinGeckoCoinGeckoWięcej Bitcoin wiadomości i prognoz →

Ataki miały miejsce kilka dni po tym, jak BTCPay wydało w czwartek wersję 2.4.7 jako aktualizację awaryjną naprawiającą jedną krytyczną i kilka średniej wagi luk w zabezpieczeniach, które, jak podano, zostały zgłoszone jej przez skaner oprogramowania open source firmy Anthropic. BTCPay nie poinformowało, czy ataki wykorzystały którąkolwiek z tych luk.

To nie jest pierwszy w tym roku przypadek zagrożenia bezpieczeństwa tego projektu. W sierpniu BTCPay ostrzegł, że krytyczna luka we wszystkich wersjach przed 2.4.2 była aktywnie wykorzystywana, i nakazał użytkownikom zaktualizować lub wyłączyć swoje serwery. Zwolennicy projektu później ufundowali nagrodę za odzyskanie w wysokości 10% wszelkich zwróconych skradzionych środków, z limitem 3 BTC.