BTCPay Server: хакеры опустошают горячие кошельки на старых версиях
Разработчики платежного сервиса BTCPay Server сообщили о несанкционированном выводе средств из горячих кошельков пользователей и призвали временно отключить серверы до завершения расследования.
Первое предупреждение появилось 1 ноября в 22:25 UTC. Для отключения разработчики предложили использовать скрипт ./btcpay-down.sh.
BTCPay Server — бесплатная платежная система с открытым исходным кодом, позволяющая интернет-магазинам и другим организациям принимать биткоин самостоятельно, без посредников. Пользователи размещают программное обеспечение на собственных или арендованных серверах, поэтому проект не может централизованно отключить все установки.
Сервис поддерживает горячие кошельки: сид-фраза хранится на подключенном к интернету сервере и используется для автоматического подписания исходящих транзакций. Это упрощает платежи, но создает риски при получении злоумышленником доступа к серверу.
Основатель проекта Николя Дорье сообщил, что, по предварительным данным, атаке подверглись серверы с программным обеспечением старше версии 2.4.2. "Наши публичные серверы не атакованы (на 2.4.7), похоже, сообщения касаются версий до 2.4.2. Атакующий смог войти в систему как администратор на этих экземплярах, мы все еще пытаемся выяснить, как", — написал он. Позднее команда BTCPay подтвердила, что найденный способ атаки затрагивает версии 2.4.1 и более ранние. Последняя из них вышла 23 июля. Достоверных сообщений о хищениях с серверов на актуальной версии 2.4.7 не поступало.
Разработчики вновь призвали своевременно обновлять BTCPay. Пострадавших пользователей попросили направить сведения об инциденте и журналы работы серверов на адрес security@btcpayserver.org. Серверы, работающие через хостинг-провайдеров, могли быть отключены автоматически, чтобы злоумышленники не воспользовались уязвимостью старых версий. Разработчики поблагодарили LunaNode и других провайдеров за быструю реакцию на первое предупреждение. Количество затронутых установок, общий размер ущерба и личности злоумышленников к моменту публикации неизвестны.
29 октября разработчики выпустили версию 2.4.7, исправившую 85 проблем, выявленных с помощью программы Anthropic OSS Scanner. Согласно отчету, одна из них получила критическую оценку опасности, 13 — высокую, 52 — среднюю и 19 — низкую. Изменения затронули механизмы авторизации, управление выплатами, обработку счетов, программные интерфейсы и другие компоненты. Специалисты рекомендовали установить обновление, особенно владельцам серверов, обслуживающих несколько магазинов. Связь нынешних хищений с какой-либо из исправленных проблем или с ранее обнаруженными уязвимостями пока не подтверждена.
В августе хакеры опустошили Lightning-узлы производителя аппаратных кошельков Foundation и биткоин-издания Citadel21 через критическую уязвимость в BTCPay Server. Злоумышленники получали файлы авторизации LND — программного обеспечения для работы с Lightning Network, с помощью которых можно было управлять узлами и выводить средства. Уязвимость устранили в версии 2.4.2, тогда разработчики призвали пользователей LND срочно обновиться либо отключить серверы.