BTCPay Server har bekræftet, at angribere har udnyttet en kritisk sårbarhed til at stjæle midler fra brugere, der kører versioner før 2.4.2, og opfordrer alle operatører til straks at opdatere.
Den selv-hostede Bitcoin-betalingsprocessor har udgivet version 2.4.2 for at lukke sårbarheden. Problemet gjorde det muligt for en ikke-autentificeret, fjernangriber at få fat i .macaroon legitimationsfiler til LND, som er en populær Lightning Network-implementering.
Hvad skal BTCPay Server-brugere gøre?
De stjålne legitimationsoplysninger kan give en angriber fuld kontrol over en LND-node. Angriberen kan herefter flytte midler direkte ud af noden.
“Vi har bekræftet, at angribere udnyttede denne sårbarhed. Brugere blev ramt, og der blev stjålet midler. Vi offentliggør endnu ikke tekniske detaljer, fordi operatører stadig skal nå at opdatere,” skrev teamet.
Følg os på X for at få de seneste nyheder, så snart de sker
Risikoen gælder særligt for implementeringer, der bruger LND. Andre Lightning-opsætninger og brugere uden Lightning er ikke udsat for læk af legitimationsoplysninger, men projektet opfordrer stadig til opdatering. BTCPay Servers egne on-chain og varme wallets er ikke påvirket.
Operatører, der bruger LND, bør opdatere til version 2.4.2 samt LND 0.21.1 via vedligeholdelsesdashboardet. Opdateringen gendanner automatisk nye macaroon-filer. De, der ikke kan opdatere straks, rådes til at tage deres servere offline.
Projektet anbefaler desuden, at LND-brugere gennemgår node-aktivitet for ukendte forbindelser, uventede nedlukning af kanaler og betalinger, de ikke selv har foretaget.
Endnu et slag mod Bitcoin-self-custody
Afsløringen kommer efter endnu en markant sikkerhedshændelse. I fredags bekræftede Galaxy Research, at 1.719 Bitcoin (BTC) til en værdi af omkring 111 millioner dollars er blevet stjålet fra Coldcard-brugere indtil nu. Virksomheden forventer, at de samlede tab vil overstige 130 millioner dollars, når udestående sager bliver bekræftet.
Ingen af hændelserne ramte selve Bitcoin-protokollen. Begge har i stedet afsløret svagheder i de værktøjer, der er bygget rundt om den.
Abonnér på vores YouTube-kanal for at se ledere og journalister give ekspertindsigt
