צמתי Bitcoin Lightning נפגעו כש-BTCPay מסמן תיקון חירום 2.4.2

BTCPay Server ממליץ לשדרג לאחר פגיעות קריטית

אקוסיסטם הביטקוין ניצב בפני מתקפה נוספת על שירות תשתית המתארח-עצמית לאחר ניצול ה-Coldcard האחרון, שהותיר יתרה של מעל 1,700 BTC שנגנבו, לפי Galaxy Research.

BTCPay Server, מעבד תשלומים למטבעות קריפטוגרפיים בקוד פתוח ומתארח-עצמית, הודיע כי הוא מתמודד עם מתקפה מתמשכת מצד שחקני איום לא ידועים המשפיעה על בסיס הקוד שלו.

ברשתות החברתיות, צוות BTCPay Server הדגיש כי קיימת “פגיעות קריטית שנוצלה באופן פעיל ב-BTCPay Server, שעלולה להוביל לאובדן כספים.”

הפגיעות נחשפה על ידי Bitcoin Red Team, קבוצת אבטחה התנדבותית שכבר מצאה אלפי פגיעויות במאות פרויקטי קוד פתוח לאחר פריצת ה-Coldcard.

“אנא עדכנו את BTCPayServer שלכם ל-2.4.2 דרך Admin Dashboard -> Server -> Maintenance -> Update ואמתו את מחרוזת הגרסה 2.4.2 בפוטר. אם אינכם יכולים לעדכן מיד, כבו את BTCPay Server שלכם כדי למנוע גישה לא מורשית עד שתוכלו לעדכן,” המליץ BTCPay Server.

בנוסף, הפרויקט עודד משתמשים לרענן macaroons ו-macaroons.db, שני קבצים מרכזיים של השרת; לרענן מחרוזות אימות ולהעביר כספים אם הם מאוחסנים בארנק חם שנוצר באמצעות BTCPay.

בעוד שמספרים לגבי הניצול הזה לא פורסמו, יש לפחות שני מקרים ידועים שבהם כספים נשאבו. זאק הרברט, מייסד-שותף ומנכ”ל Foundation, בוני מכשיר Passport Prime, דיווח שהצומת שלהם רוקן במהלך הלילה.

Hodlonaut גם מצא שכספי צומת ה-Lightning של Citadel 21 נשאבו, תוך הסתייגות שהוא לא החזיק הרבה כספים בשל אמצעי זהירות לגבי האפשרות להפעלה של BIP-110.

הוא הדגיש שהמתקפה הזו נראתה ממוקדת, כשהיא מכוונת אל “לב ליבה” של השכבה החברתית של הביטקוין. “Coldcard ו-BTCPayserver. אלה כלים לחובבים/קשוחים, המשמשים את האנשים שחיים ונושמים ביטקוין. זה לא מרגיש כמו צירוף מקרים,” הוא סיכם.