BTCPay Server aicina izslēgt serverus pēc ziņām par iztukšotiem bitkoinu makiem

Bitkoinu maksājumu programmatūras BTCPay Server komanda svētdien, 1. novembrī, aicināja visus, kas to darbina, nekavējoties izslēgt savus serverus. Iemesls bija ziņojumi, ka nepiederīgas personas no vairāku tirgotāju serveriem pārskaitījušas līdzekļus no tā saukajiem karstajiem makiem. Pirmdien projekts paziņoja, ka atradis uzbrukuma ceļu, kas skar vecākas programmatūras versijas.

BTCPay Server ir bezmaksas atvērtā koda rīks, ar kuru uzņēmumi pieņem maksājumus bitkoinos bez starpnieka. Katrs tirgotājs programmatūru uzstāda uz sava servera, tāpēc nav viena centrāla slēdža, ar ko izstrādātāji varētu apturēt visas instalācijas. Tieši tāpēc viņi varēja tikai lūgt katru operatoru pašu palaist apturēšanas komandu un gaidīt izmeklēšanas beigas.

Karstais maks ir maks, kura slepenā atkopšanas frāze glabājas tieši internetam pieslēgtajā serverī. Tas ļauj serverim pašam parakstīt un nosūtīt maksājumus bez tirgotāja apstiprinājuma atsevišķā ierīcē. Kā raksta CoinDesk, BTCPay dokumentācijā šī funkcija ir marķēta ar brīdinājumu par drošības riskiem, jo tas, kurš iegūst piekļuvi serverim, var monētas pārsūtīt uz savu adresi.

Projekta dibinātājs Nikolā Doriē (Nicolas Dorier) pēc dažām stundām precizēja, ka saņemtie ziņojumi, šķiet, attiecas uz versijām, kas vecākas par 2.4.2, un ka uzbrucēji skartajos serveros pieteikušies kā administratori. Kā viņi šo piekļuvi ieguvuši, vēl nebija skaidrs. Doriē norādīja, ka projekta paša publiskie serveri, kuros darbojas versija 2.4.7, uzbrukumam nav pakļauti.

Pirmdien BTCPay Server paziņoja, ka izmeklēšanā atklātais uzbrukuma ceļš skar instalācijas ar versiju 2.4.1 vai vecāku. Šī versija izlaista 23. jūlijā. Par jaunāko versiju 2.4.7 uzticamu ziņojumu par iztukšotiem makiem neesot saņemts, tāpēc operatori tiek aicināti to uzstādīt. Cietušos lūdz nosūtīt informāciju un žurnālus projekta drošības komandai.

Cik operatoru skarti un cik daudz līdzekļu nozagts, projekts nav atklājis, tāpat nav publiskotas tehniskas detaļas par uzbrukumu. Nav arī skaidrs, vai tas saistīts ar augustā izmantoto ievainojamību. Toreiz uzbrucēji versijās pirms 2.4.2 ieguva Lightning tīkla mezgla programmatūras LND piekļuves datus un nozaga līdzekļus, pēc kā BTCPay ierobežoja attālināto piekļuvi Lightning mezgliem.

Brīdinājums izskanēja dienu pēc tam, kad kriptobirža Binance pēc rekordlielas uzlaušanas atsāka līdzekļu izmaksas. BTCPay gadījums gan ir atšķirīgs, jo tas neskar vienu centralizētu biržu, bet gan atsevišķus tirgotājus, kas paši atbild par savu serveru drošību un atjauninājumiem.