Serwer BTCPay potwierdził, że napastnicy wykorzystali krytyczną lukę, aby ukraść środki od użytkowników korzystających z wersji wcześniejszych niż 2.4.2 i wezwał operatorów do natychmiastowej aktualizacji.
Samodzielnie hostowany procesor płatności Bitcoin wydał wersję 2.4.2, aby zamknąć lukę. Problem pozwalał nieautoryzowanemu zdalnemu napastnikowi uzyskać pliki poświadczeń .macaroon dla LND, popularnej implementacji Lightning Network.
Co muszą zrobić użytkownicy BTCPay Server
Sk stolenie poświadczeń mogło dać napastnikowi pełną kontrolę nad węzłem LND. Stamtąd napastnik mógłby bezpośrednio przenieść środki z węzła.
„Potwierdziliśmy, że napastnicy wykorzystali tę lukę. Użytkownicy zostali dotknięci, a środki zostały skradzione. Nie publikujemy jeszcze szczegółów technicznych, ponieważ operatorzy potrzebują czasu na aktualizację,” powiedział zespół.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Ryzyko dotyczy konkretnie wdrożeń korzystających z LND. Inne konfiguracje Lightning i użytkownicy niekorzystający z Lightning nie są narażeni na ujawnienie poświadczeń, chociaż projekt nadal wezwał ich do aktualizacji. Własne portfele on-chain i hot wallety BTCPay Server pozostają nietknięte.
Operatorzy korzystający z LND powinni zaktualizować do wersji 2.4.2 i LND 0.21.1 za pośrednictwem panelu zarządzania. Aktualizacja automatycznie regeneruje macarony. Ci, którzy nie mogą natychmiast załatać, zostali poinformowani, aby wyłączyć swoje serwery.
Projekt zalecił również użytkownikom LND przeglądanie aktywności węzła pod kątem nieznanych partnerów, niespodziewanych zamknięć kanałów i płatności, których nie dokonali.
Drugi cios dla samodzielnego przechowywania Bitcoinów
Ujawnienie następuje po innym poważnym incydencie bezpieczeństwa. Galaxy Research potwierdziło w piątek, że 1,719 Bitcoinów (BTC), wartych około 111 milionów dolarów, zostało skradzionych użytkownikom Coldcard do tej pory. Firma oczekuje, że całkowite straty przekroczą 130 milionów dolarów, gdy tylko zweryfikowane zostaną zaległe przypadki.
Żaden z incydentów nie dotknął samego protokołu Bitcoin. Oba ujawniły zamiast tego słabości w narzędziach zbudowanych wokół niego.
Subskrybuj nasz kanał YouTube, aby oglądać liderów i dziennikarzy, którzy dostarczają fachowych spostrzeżeń
Źródło: BeInCrypto
