Уразливість у BTCPay Server дала змогу зловмисникам вивести кошти з Lightning-вузлів

7 серпня BTCPay Server — опенсорсний платіжний процесор, яким користуються тисячі біткоїн-мерчантів у світі — оприлюднив термінове попередження про безпеку. Команда повідомила, що зловмисники скористалися критичною вразливістю та змогли вивести кошти з під'єднаних Lightning-вузлів. Проблема відкривала несанкціонований доступ до облікових даних Lightning-вузлів. Щонайменше двоє відомих учасників біткоїн-спільноти підтвердили, що їхні вузли за ніч були повністю спустошені. Foundation, компанія-виробник популярної лінійки апаратних гаманців, і hodlonaut, який керує біткоїн-виданням Citadel21, заявили, що їхні Lightning-канали були примусово закриті (force-close), а кошти — 'swept'. Пов'язані hot wallet'и не постраждали, що звужує можливий вектор атаки до особливостей того, як BTCPay Server обробляв автентифікацію Lightning-вузлів. У чому була помилка Вразливість стосувалася облікових даних Lightning-вузла, відомих як macaroons — за суттю це ключі доступу на кшталт API-ключів, які надають права виконувати дії на Lightning-вузлі. Критичний момент полягав у тому, що ці облікові дані зберігали чинність навіть після встановлення попередніх оновлень. Оператори, які дисципліновано оновлювали свої інсталяції BTCPay Server, усе одно залишалися під ризиком, адже старі macaroons продовжували працювати й вимагали ручного оновлення/ротації. У день публікації попередження BTCPay Server випустив версію 2.4.2, а також надав рекомендації оновити бекенд NBXplorer до версії 2.6.10. Проєкт закликав усіх операторів або негайно оновитися, або повністю вимкнути сервери, щоб уникнути подальших втрат. У BTCPay Server окремо наголосили: ця уразливість не пов'язана з попереднім багом автентифікації, який було закрито лише кілька днів тому. Парадокс self-hosting Foundation створює апаратні гаманці — пристрої, які мають давати користувачам максимальний контроль над власним біткоїном. Те, що навіть вони стали жертвами експлойту в BTCPay Server, підкреслює, наскільки складно підтримувати бездоганну безпеку на всіх рівнях self-hosted стеку. Інцидент стався на тлі підвищеної уваги до безпеки біткоїн-інфраструктури загалом. Нещодавня вада у прошивці Coldcard знову поставила під мікроскоп надійність апаратних гаманців, а Bitcoin Red Team проводить аудити ключових інструментів екосистеми із застосуванням ШІ. Те, що цю уразливість BTCPay уже активно експлуатували до того, як її встигли виявити під час таких перевірок, порушує питання, чи встигає поточний процес security review за зростанням площі атаки. Наслідки та на що звернути увагу BTCPay Server і Bitcoin Red Team повідомили, що в найближчі дні опублікують детальні технічні розбори експлойту. Характер атаки — використання облікових даних, які 'пережили' програмні оновлення — вказує на клас проблем, які легко пропустити. Коли виправлення потребує додаткового ручного кроку, неочевидного для оператора, розрив між 'оновлено' та 'захищено' перетворюється на зручне поле для полювання атакувальників. Мерчантам, які досі використовують старіші версії BTCPay Server із увімкненим Lightning, варто розглядати ситуацію як невідкладну. Рекомендація проєкту вимикати сервери, якщо немає змоги оновитися негайно, звучить нетипово жорстко для опенсорсних мейнтейнерів — і саме цим сигналізує рівень ризику.