BTCPay Server подтвердил, что злоумышленники воспользовались критической уязвимостью для кражи средств у пользователей, работавших на любой версии ниже 2.4.2, и призвал операторов немедленно обновиться.

Самохостируемый платёжный процессор Bitcoin выпустил версию 2.4.2 для устранения уязвимости. Проблема позволяла неаутентифицированному удалённому злоумышленнику получить файлы учётных данных .macaroon для LND — распространённой реализации Lightning Network.

Что должны сделать пользователи BTCPay Server

Похищенные учётные данные могли предоставить злоумышленнику полный контроль над нодой LND. Оттуда атакующий мог напрямую выводить средства с ноды.

«Мы подтвердили, что злоумышленники воспользовались этой уязвимостью. Пострадавшие пользователи лишились средств. Мы пока не публикуем технические детали, поскольку операторам всё ещё нужно время на обновление», — сообщила команда.

Следите за нами в X, чтобы получать последние новости в режиме реального времени

Риск касается конкретно развёртываний с использованием LND. Другие конфигурации Lightning и пользователи без Lightning не сталкиваются с раскрытием учётных данных, хотя проект всё равно призвал их обновиться. Собственные on-chain и горячие кошельки BTCPay Server не затронуты.

Операторам, использующим LND, следует обновиться до версии 2.4.2 и LND 0.21.1 через панель обслуживания. Обновление автоматически перегенерирует macaroon-файлы. Тем, кто не может обновиться немедленно, рекомендовано отключить серверы.

Проект также рекомендовал пользователям LND проверить активность ноды на предмет незнакомых пиров, неожиданных закрытий каналов и платежей, которые они не совершали.

Ещё один удар по биткоин-самохранению

Раскрытие последовало за другим крупным инцидентом безопасности. Galaxy Research подтвердила в пятницу, что с пользователей Coldcard похищено 1 719 BTC на сумму около $111 млн. Компания ожидает, что общие потери превысят $130 млн после верификации незакрытых случаев.

Ни один из инцидентов не затронул сам протокол Bitcoin. Оба вместо этого обнажили слабости в инструментах, созданных вокруг него. 

Подпишитесь на наш YouTube-канал, чтобы смотреть экспертные выступления руководителей и журналистов

Источник: BeInCrypto