BTCPay Server предупредил о краже биткоинов из горячих кошельков

Разработчики платежной системы BTCPay Server предупредили о несанкционированном выводе биткоинов из горячих кошельков пользователей. Владельцам серверов рекомендовали временно отключить установки версий 2.4.1 и старше. Количество затронутых установок и общий размер ущерба пока неизвестны.

Первое предупреждение появилось 1 ноября в 22:25 UTC. Для отключения серверов команда предложила использовать скрипт ./btcpay-down.sh.

По предварительным данным основателя проекта Николя Дорье, злоумышленник получил права администратора на уязвимых серверах. Публичные серверы BTCPay Server, работающие на версии 2.4.7, атаке не подверглись. Способ получения доступа пока не установлен.

Позднее разработчики уточнили, что выявленный способ атаки затрагивает версии 2.4.1 и более ранние. Последняя из этих версий вышла 23 июля. Достоверных сообщений о хищении средств с серверов на актуальной версии 2.4.7 команда не получила.

BTCPay Server — платежная система с открытым исходным кодом. Она позволяет интернет-магазинам и другим организациям принимать биткоины без посредников. Пользователи устанавливают программу на собственных или арендованных серверах, которыми проект централизованно не управляет. Поэтому разработчики не могут автоматически отключить все потенциально уязвимые установки.

Риск связан с горячими кошельками. В них сид-фраза хранится на подключенном к интернету сервере и используется для автоматического подписания исходящих транзакций. При получении контроля над сервером злоумышленник может попытаться вывести находящиеся на нем средства.

Пользователей, столкнувшихся с инцидентом, попросили отправить сведения о произошедшем и журналы работы серверов на адрес [email protected]. Некоторые хостинг-провайдеры могли отключить серверы автоматически. Разработчики отдельно поблагодарили LunaNode и другие компании за быструю реакцию.

29 октября BTCPay Server выпустил версию 2.4.7. Она устранила 85 проблем безопасности, выявленных с помощью Anthropic OSS Scanner: одну критическую, 13 высоких, 52 средних и 19 низких по уровню опасности. Исправления затронули авторизацию, выплаты, обработку счетов и программные интерфейсы. Связь нынешних хищений с одной из этих проблем пока не подтверждена.

В августе злоумышленники вывели средства из Lightning-узлов производителя аппаратных кошельков Foundation и биткоин-издания Citadel21 через критическую уязвимость BTCPay Server. Атакующие получали файлы авторизации LND — программного обеспечения для работы с Lightning Network — и использовали их для управления узлами. Уязвимость исправили в версии 2.4.2. После августовского инцидента BTCPay предложил вознаграждение — до 3 BTC за помощь в возврате похищенных средств.