BTCPay Server подтвердил кражу средств из-за критической уязвимости в версиях до 2.4.2

BTCPay Server подтвердил, что злоумышленники воспользовались критической уязвимостью и похитили средства пользователей, использовавших любую версию ниже 2.4.2. Уязвимость позволяла удалённым злоумышленникам без аутентификации получать файлы .macaroon с учётными данными LND — распространённой реализации Lightning Network, — что давало полный контроль над уязвимыми узлами. Самостоятельно размещаемый платёжный процессор для Bitcoin выпустил версию 2.4.2, устраняющую уязвимость, и призвал всех операторов немедленно обновиться через панель обслуживания.

Злоумышленники воспользовались уязвимостью для кражи учётных данных узлов LND

Уязвимость затрагивала только развёртывания с использованием LND. Похищенные файлы .macaroon с учётными данными давали злоумышленникам полный контроль над узлами LND и позволяли напрямую переводить средства. «Мы подтвердили, что злоумышленники воспользовались этой уязвимостью. Пользователи пострадали, а средства были похищены. Мы пока не публикуем технические подробности, поскольку операторам всё ещё нужно время для обновления», — заявила команда.

Риск распространяется только на конфигурации с LND. Другие реализации Lightning Network и пользователи, не использующие Lightning, не подвергаются риску утечки учётных данных, хотя BTCPay Server всё равно рекомендовал установить обновление. Собственные ончейн- и горячие кошельки проекта не пострадали.

BTCPay Server поручил операторам обновиться до версии 2.4.2

Операторы, использующие LND, должны обновить BTCPay Server до версии 2.4.2, а LND — до версии 0.21.1 через панель обслуживания, перейдя в Admin Dashboard > Server > Maintenance > Update. Обновление автоматически создаёт новые файлы macaroon. Операторам, которые не могут немедленно установить исправление, рекомендовали отключить серверы.

BTCPay Server посоветовал пользователям LND проверить активность узлов на наличие неизвестных пиров, неожиданных закрытий каналов и несанкционированных платежей.

Galaxy Research подтвердила кражу 111 миллионов долларов в инциденте с Coldcard

Раскрытие информации BTCPay Server последовало за отдельным крупным инцидентом безопасности. Galaxy Research подтвердила, что у пользователей Coldcard было похищено 1 719 биткоинов (BTC) на сумму около 111 миллионов долларов. Компания ожидает, что общий объём убытков превысит 130 миллионов долларов после проверки всех незакрытых дел.

Ни один из инцидентов не затронул сам протокол Bitcoin. Оба выявили уязвимости в инструментах, созданных вокруг этой сети.

Часто задаваемые вопросы

Какую уязвимость использовали злоумышленники в BTCPay Server?

Злоумышленники воспользовались критической уязвимостью в версиях BTCPay Server ниже 2.4.2, которая позволяла удалённый доступ без аутентификации к файлам .macaroon с учётными данными LND и давала полный контроль над уязвимыми узлами Lightning Network.

Как операторам BTCPay Server обновиться до версии 2.4.2?

Операторы должны перейти в Admin Dashboard > Server > Maintenance > Update и проверить наличие строки с версией 2.4.2 в нижней части страницы. Обновление автоматически создаёт новые файлы macaroon для пользователей LND.

Сколько биткоинов было похищено в инциденте с Coldcard?

Galaxy Research подтвердила, что у пользователей Coldcard было похищено 1 719 BTC на сумму около 111 миллионов долларов. Ожидается, что общий объём убытков превысит 130 миллионов долларов после проверки всех случаев.