BTCPay Server подтвердил, что злоумышленники воспользовались критической уязвимостью для кражи средств у пользователей, работавших на любой версии ниже 2.4.2, и призвал операторов немедленно обновиться.
Самохостируемый платёжный процессор Bitcoin выпустил версию 2.4.2 для устранения уязвимости. Проблема позволяла неаутентифицированному удалённому злоумышленнику получить файлы учётных данных .macaroon для LND — распространённой реализации Lightning Network.
Что должны сделать пользователи BTCPay Server
Похищенные учётные данные могли предоставить злоумышленнику полный контроль над нодой LND. Оттуда атакующий мог напрямую выводить средства с ноды.
«Мы подтвердили, что злоумышленники воспользовались этой уязвимостью. Пострадавшие пользователи лишились средств. Мы пока не публикуем технические детали, поскольку операторам всё ещё нужно время на обновление», — сообщила команда.
Следите за нами в X, чтобы получать последние новости в режиме реального времени
Риск касается конкретно развёртываний с использованием LND. Другие конфигурации Lightning и пользователи без Lightning не сталкиваются с раскрытием учётных данных, хотя проект всё равно призвал их обновиться. Собственные on-chain и горячие кошельки BTCPay Server не затронуты.
Операторам, использующим LND, следует обновиться до версии 2.4.2 и LND 0.21.1 через панель обслуживания. Обновление автоматически перегенерирует macaroon-файлы. Тем, кто не может обновиться немедленно, рекомендовано отключить серверы.
Проект также рекомендовал пользователям LND проверить активность ноды на предмет незнакомых пиров, неожиданных закрытий каналов и платежей, которые они не совершали.
Ещё один удар по биткоин-самохранению
Раскрытие последовало за другим крупным инцидентом безопасности. Galaxy Research подтвердила в пятницу, что с пользователей Coldcard похищено 1 719 BTC на сумму около $111 млн. Компания ожидает, что общие потери превысят $130 млн после верификации незакрытых случаев.
Ни один из инцидентов не затронул сам протокол Bitcoin. Оба вместо этого обнажили слабости в инструментах, созданных вокруг него.
Подпишитесь на наш YouTube-канал, чтобы смотреть экспертные выступления руководителей и журналистов
Источник: BeInCrypto
