BTCPay Server Mengonfirmasi Pencurian Dana akibat Kerentanan Kritis pada Versi sebelum 2.4.2

BTCPay Server mengonfirmasi bahwa penyerang mengeksploitasi kerentanan kritis untuk mencuri dana dari pengguna yang menjalankan versi apa pun sebelum 2.4.2. Celah tersebut memungkinkan penyerang jarak jauh tanpa autentikasi memperoleh file kredensial .macaroon untuk LND, implementasi umum Lightning Network, sehingga memberikan kendali penuh atas node yang terdampak. Pemroses pembayaran Bitcoin yang dihosting sendiri tersebut merilis versi 2.4.2 untuk menutup kerentanan itu dan mendesak semua operator segera memperbarui melalui dasbor pemeliharaan.

Penyerang Mengeksploitasi Kerentanan untuk Mencuri Kredensial Node LND

Kerentanan tersebut secara khusus menargetkan deployment yang menggunakan LND. Kredensial .macaroon yang dicuri memberikan penyerang kendali penuh atas node LND, sehingga memungkinkan transfer dana secara langsung. “Kami telah mengonfirmasi bahwa penyerang mengeksploitasi kerentanan ini. Pengguna terdampak dan dana mereka telah dicuri. Kami belum memublikasikan detail teknis karena operator masih membutuhkan waktu untuk memperbarui,” ujar tim tersebut.

Risiko ini hanya berlaku pada pengaturan LND. Implementasi Lightning Network lainnya dan pengguna non-Lightning tidak menghadapi paparan kredensial, meskipun BTCPay Server tetap merekomendasikan pembaruan. Dompet on-chain dan hot wallet milik proyek tersebut tidak terdampak.

BTCPay Server Menginstruksikan Operator untuk Memperbarui ke Versi 2.4.2

Operator yang menggunakan LND harus memperbarui BTCPay Server ke versi 2.4.2 dan LND ke versi 0.21.1 melalui dasbor pemeliharaan dengan membuka Admin Dashboard > Server > Maintenance > Update. Pembaruan tersebut secara otomatis membuat ulang macaroon. Operator yang tidak dapat segera memasang patch diinstruksikan untuk menonaktifkan server.

BTCPay Server menyarankan pengguna LND meninjau aktivitas node untuk mencari peer yang tidak dikenal, penutupan channel yang tidak terduga, dan pembayaran yang tidak sah.

Galaxy Research Mengonfirmasi 111 Juta Dolar AS Dicuri dalam Insiden Coldcard

Pengungkapan BTCPay Server tersebut menyusul insiden keamanan besar lainnya. Galaxy Research mengonfirmasi bahwa 1.719 Bitcoin (BTC), senilai sekitar 111 juta dolar AS, telah dicuri dari pengguna Coldcard. Perusahaan tersebut memperkirakan total kerugian akan melampaui 130 juta dolar AS setelah kasus yang masih tertunda diverifikasi.

Tidak satu pun dari kedua insiden tersebut berdampak pada protokol Bitcoin itu sendiri. Keduanya mengekspos kelemahan pada perangkat yang dibangun di sekitar jaringan tersebut.

FAQ

Kerentanan apa yang dieksploitasi penyerang di BTCPay Server?

Penyerang mengeksploitasi celah kritis pada versi BTCPay Server sebelum 2.4.2 yang memungkinkan akses jarak jauh tanpa autentikasi ke file kredensial .macaroon untuk LND, sehingga memberikan kendali penuh atas node Lightning Network yang terdampak.

Bagaimana operator BTCPay Server memperbarui ke versi 2.4.2?

Operator harus membuka Admin Dashboard > Server > Maintenance > Update dan memverifikasi string versi 2.4.2 di footer. Pembaruan tersebut secara otomatis membuat ulang macaroon bagi pengguna LND.

Berapa banyak Bitcoin yang dicuri dalam insiden Coldcard?

Galaxy Research mengonfirmasi bahwa 1.719 BTC, senilai sekitar 111 juta dolar AS, telah dicuri dari pengguna Coldcard, dengan total kerugian diperkirakan melampaui 130 juta dolar AS setelah semua kasus diverifikasi.