Btcpay: doniesienia o kradzieżach z portfeli hot wallet

Programiści Btcpay wzywają do natychmiastowego wyłączenia serwerów w związku z kradzieżą środków z portfeli bitcoinowych

Około godziny 22:25 czasu UTC 1 listopada na oficjalnym koncie serwera Btcpay opublikowano pilne ogłoszenie:

„Otrzymujemy zgłoszenia dotyczące opróżniania gorących portfeli na serwerach BTCPay przez nieuprawnionych atakujących”.

Operatorzy zostali poinstruowani, aby wyłączyć swoje instancje za pomocą polecenia ./btcpay-down.sh do czasu, aż śledczy ustalą, co się stało. Uncle Rockstar Developer, główny współtwórca projektu, wzmocnił to ostrzeżenie, oświadczając: „To nie są ćwiczenia: wyłączcie swój serwer BTCPay, jeśli posiadacie portfel typu hot”.

Btcpay Server to oprogramowanie typu open source, które pozwala sprzedawcom przyjmować płatności w bitcoinach (BTC) bez konieczności korzystania z usług tradycyjnych pośredników płatniczych. Operatorzy mogą samodzielnie hostować oprogramowanie i zarządzać własną infrastrukturą portfeli. Ta niezależność wiąże się z odpowiedzialnością.

W momencie publikacji tego artykułu programiści nie ujawnili ani łącznej kwoty skradzionych bitcoinów, ani liczby poszkodowanych sprzedawców. Wstępny komunikat nie zawierał również potwierdzonych informacji na temat tego, w jaki sposób atakujący uzyskali dostęp do zaatakowanych systemów.

Założyciel wskazuje na starsze wersje w miarę zawężania się śledztwa

Założyciel serwera Btcpay, Nicolas Dorier, przedstawił następnie bardziej szczegółowe wyjaśnienie. Jego wstępne ustalenia wskazywały, że na dotkniętych atakiem instalacjach działało oprogramowanie starsze niż wersja 2.4.2. Atakujący rzekomo uzyskali dostęp administratora, a ślady kryminalistyczne wskazują na luki w zabezpieczeniach obecne w tych starszych wersjach.

Dorier zaznaczył również, że serwery publiczne i demonstracyjne z wersją 2.4.7 nie zostały zaatakowane. To rozróżnienie podważa możliwość, że to właśnie najnowsza awaryjna aktualizacja spowodowała zgłoszone naruszenie bezpieczeństwa. Nie oznacza to jednak, że każda obecna instalacja jest odporna na atak, a śledczy nie opublikowali jeszcze pełnego raportu technicznego.

W sierpniu w ramach projektu usunięto inną lukę, która pozwalała nieautoryzowanym atakującym na uzyskanie poświadczeń „macaroon” Lightning Network Daemon (LND), pełniących funkcję tokenów autoryzacyjnych. Luka ta została usunięta w wersji 2.4.2. Twórcy projektu oświadczyli wcześniej, że własne portfele łańcuchowe Btcpay nie były narażone na skutki tej konkretnej luki.

Nie ustalono jednoznacznie, czy najnowsze kradzieże wynikały z tej samej luki, innej starszej luki czy też z wielu luk jednocześnie.

Przegląd bezpieczeństwa AI usunął 85 luk zaledwie kilka dni przed ostrzeżeniem

Kolejny zwrot akcji wiąże się z momentem, w którym doszło do tych wydarzeń. 29 października Btcpay Server wydał wersję 2.4.7 po otrzymaniu zgłoszeń dotyczących luk w zabezpieczeniach, wygenerowanych w ramach inicjatywy skanowania bezpieczeństwa typu open source firmy Anthropic. W tej wersji usunięto 85 wykrytych problemów, w tym jeden krytyczny, 13 o wysokim poziomie zagrożenia, 52 o średnim poziomie zagrożenia oraz 19 o niskim poziomie zagrożenia.

Ujawnienie tych informacji nastąpiło w kontekście szerszego rozwoju badań nad lukami w zabezpieczeniach wspomaganych przez sztuczną inteligencję w 2026 r., gdy systemy opracowane przez gigantów AI, takich jak Anthropic, OpenAI i Google, wykazywały coraz bardziej zaawansowane możliwości identyfikowania słabych punktów oprogramowania. Sama inicjatywa skanowania firmy Anthropic zgłosiła w ciągu sześciu miesięcy ponad 29 000 potencjalnych luk w zabezpieczeniach, choć tylko część z nich została poddana ręcznej weryfikacji.

Incydent z Btcpay ilustruje kluczową różnicę między wykrywaniem luk w zabezpieczeniach a ochroną wdrożonego oprogramowania. Opublikowanie poprawek nie powoduje automatycznej aktualizacji niezależnie obsługiwanych serwerów.

Sprzedawcy wyłączają serwery w miarę postępu śledztwa

Firmy, w tym Coincards, wyłączyły instalacje Btcpay po otrzymaniu ostrzeżenia. Dla sprzedawców ta przerwa wiąże się z koniecznością natychmiastowego wyboru między dostępnością płatności a ochroną środków dostępnych za pośrednictwem podłączonych portfeli. Dorier ponownie podkreślił znaczenie ograniczenia sald w portfelach typu „hot wallet” do kwot, na których utratę operatorzy mogą sobie pozwolić.

W przekazanych aktualizacjach nie ogłoszono ostatecznych szacunków strat, nowej poprawki dotyczącej konkretnego incydentu ani informacji o całkowitym usunięciu zagrożenia. Programiści przygotowywali pełniejsze wyjaśnienie. Niepokojące pytanie wykracza poza sprawę Btcpay: skoro systemy sztucznej inteligencji przyspieszają wykrywanie luk w zabezpieczeniach, czy niezależnie zarządzana infrastruktura płatnicza jest w stanie nadążyć za wprowadzanymi poprawkami?