BTCPay Server попередив користувачів про необхідність вимкнути свої платіжні сервери після отримання повідомлень про те, що зловмисники отримали несанкціонований доступ до старіших інсталяцій і вивели кошти з підключених гарячих гаманців Bitcoin.
Короткий огляд
- BTCPay Server закликав операторів вимкнути свої платіжні сервери після отримання повідомлень про те, що зловмисники отримали несанкціонований доступ і вивели кошти з підключених гарячих гаманців Bitcoin.
- Розслідування проєкту виявило вектор атаки, що впливає на інсталяції, які працюють на версії 2.4.1 або старішій, тоді як щодо останнього випуску 2.4.7 немає достовірних повідомлень про виведення коштів з гаманців.
- Співзасновник BTCPay Server Ніколя Дор'є заявив, що зловмисникам вдалося увійти з правами адміністратора на уражених екземплярах, хоча слідчі ще не встановили, як вони отримали доступ.
- Постачальники хостингу, зокрема LunaNode, вжили запобіжних заходів для вимкнення деяких інсталяцій, а постраждалих користувачів попросили надати деталі інциденту та серверні логи.
- BTCPay Server не розкрив загальну суму викраденої криптовалюти або кількість скомпрометованих серверів, і його розслідування триває.
У попередженні про безпеку від 2 листопада цей open-source процесор платежів Bitcoin повідомив, що розслідує повідомлення про несанкціоноване виведення коштів з гаманців, і попросив операторів тимчасово вимкнути свої екземпляри за допомогою скрипта ./btcpay-down.sh.
Спочатку попередження стосувалося всіх користувачів, поки команда намагалася з'ясувати, як зловмисники отримують доступ. Подальше розслідування звузило підозрюваний вектор атаки до інсталяцій, які працюють на версії 2.4.1, випущеній 23 липня 2026 року, або старішій.
BTCPay Server заявив, що не отримав достовірних повідомлень про виведення коштів з гарячих гаманців, пов'язаних з останньою версією 2.4.7, і закликав операторів підтримувати своє програмне забезпечення в актуальному стані.
Проєкт не розкрив, скільки криптовалюти було викрадено, скільки серверів було скомпрометовано або скільки користувачів повідомили про втрати.
BTCPay Server визначає старіші інсталяції як цілі атак
Згідно з останнім повідомленням проєкту, його розслідування реагування на інцидент виявило вектор атаки, що впливає на старіші версії платіжного програмного забезпечення, хоча команда ще публічно не пояснила технічну вразливість, яка дозволила вторгнення.
BTCPay Server — це самостійно розміщуваний процесор платежів у криптовалюті, який дозволяє продавцям і приватним особам приймати платежі в Bitcoin, не покладаючись на традиційного платіжного посередника. Оператори можуть керувати власною платіжною інфраструктурою та підключати гаманці для отримання й управління коштами.
Повідомлені атаки стосувалися гарячих гаманців, які залишаються підключеними до онлайн-систем і можуть використовуватися для надсилання криптовалютних транзакцій. Кошти, що зберігаються в цих гаманцях, можуть бути під загрозою, якщо зловмисники отримають достатній доступ до систем, які ними керують.
У своєму початковому попередженні BTCPay Server заявив, що отримує повідомлення про те, що гарячі гаманці спустошуються несанкціонованими зловмисниками. Спустошення гаманця передбачає переказ доступних коштів з однієї або кількох адрес на іншу адресу призначення.
Інструкції проєкту закликали операторів вимкнути свої екземпляри, поки триває розслідування. Пізніше оновлення надало більш конкретну інформацію про уражені версії програмного забезпечення та відсутність достовірних повідомлень про виведення коштів, пов'язаних з випуском 2.4.7.
Користувачів, які вважають, що їхні сервери були скомпрометовані, попросили надіслати деталі інциденту та відповідні системні журнали на [email protected].
Засновник BTCPay Server заявляє, що зловмисники отримали доступ адміністратора
Співзасновник BTCPay Server Ніколя Дор'є надав додаткові подробиці щодо підозрюваних вторгнень в окремій заяві від 2 листопада.
Дор'є сказав, що публічні сервери проєкту, які працювали на версії 2.4.7, не зазнали атаки. Виходячи з наявних у нього звітів, уражені установки, схоже, працювали на версіях, випущених до 2.4.2.
Він пояснив, що зловмиснику вдалося увійти з привілеями адміністратора на уражених екземплярах, але команда все ще намагалася з'ясувати, як було отримано цей доступ.
Доступ адміністратора може дати комусь контроль над важливими налаштуваннями та функціями сервера, залежно від конфігурації програмного забезпечення та дозволів, доступних обліковому запису.
Останній інцидент стався після попереднього порушення безпеки в серпні, коли BTCPay Server попередив про вразливість, що активно експлуатується і могла призвести до крадіжки коштів.
Як раніше повідомляв crypto.news, проєкт закликав користувачів негайно оновитися до версії 2.4.2 або вимкнути свої сервери, якщо вони не можуть встановити патч безпеки.
Серпнева вразливість дозволяла зловмисникам отримувати облікові дані адміністратора macaroon LND з уражених установок і отримувати доступ до підключених гаманців Lightning. BTCPay Server заявив, що ця вада не скомпрометувала звичайні он-чейн гаманці, включно з гарячими гаманцями.
Згодом проєкт оголосив винагороду за відновлення у розмірі 10% від відновлених коштів, з обмеженням у 3 BTC, якщо всі викрадені активи буде повернуто.
Фонд BTCPay Server виділив по 0,21 BTC розробнику Sparrow Wallet Крейгу Роу та фонду Bitcoin Red Team за виявлення та повідомлення про попередню вразливість.
Постачальники хостингу вимкнули деякі екземпляри BTCPay Server
Після останнього попередження постачальники хостингу почали вживати запобіжних заходів, щоб старіші установки не залишалися відкритими.
В іншому оновленні від 2 листопада BTCPay Server повідомив, що користувачі, які запускають програмне забезпечення через постачальника хостингу, можуть виявити, що їхні екземпляри вже були автоматично вимкнені.
Проєкт подякував LunaNode та іншим хостинговим компаніям за швидку реакцію після його початкової заяви.
Такі вимкнення означають, що деякі оператори можуть не мати доступу до своїх платіжних серверів, доки їхній постачальник хостингу не відновить обслуговування або поки уражену установку не буде знову введено в роботу.
BTCPay Server не опублікував повного списку постачальників хостингу, які призупинили екземпляри, і не розкрив, скільки серверів було вимкнено.
Попередження про безпеку з'явилося після ще одного недавнього інциденту, пов'язаного з інфраструктурою біткоїн-платежів. У вересні Core Lightning попередив операторів, що зловмисники націлюються на старіші, невиправлені вузли Lightning.
Core Lightning заявив, що отримав повідомлення про атаки на вразливі установки, хоча не встановив, чи призвели ці спроби до крадіжки коштів.
Розслідування безпеки триває, користувачі повідомляють про втрати гаманців
Самостійно розміщувана архітектура BTCPay Server дає операторам прямий контроль над їхніми платіжними системами, включно з оновленнями програмного забезпечення, адмініструванням серверів і конфігураціями гаманців.
Проєкт рекомендував обмежувати кількість криптовалюти, що зберігається в гарячих гаманцях, і переміщати надлишкові кошти в холодне сховище, де приватні ключі зберігаються офлайн.
Його останній випуск, версія 2.4.7, був визначений як версія, щодо якої команда не отримала жодних достовірних повідомлень про спустошення гаманців. У заяві не встановлено, що кожен попередній випуск був скомпрометований або що кожна установка, яка працювала на ураженій версії, зазнала втрат.
BTCPay Server попросив постраждалих операторів зберегти та надіслати журнали своїй команді безпеки, оскільки слідчі продовжують вивчати адміністраторський доступ, про який повідомив Дор'є.
Публічних термінів завершення розслідування не надано, і проєкт не оголосив про будь-яке відшкодування криптовалюти, вилученої з постраждалих гаманців.
