Коротко

  • BTCPay Server закликав операторів вимкнути свої інстанси в неділю після повідомлень про те, що зловмисники спустошували гарячі гаманці на серверах, які працюють під цим програмним забезпеченням.
  • Згодом проєкт заявив, що атака була націлена на версії 2.4.1 або старші, і що він не має достовірних повідомлень про спустошення гаманців серед користувачів, які працюють на останньому випуску 2.4.7.
  • BTCPay випустив 2.4.7 у четвер як екстрене оновлення, що виправляє одну критичну та кілька вразливостей середньої тяжкості, виявлених сканером Anthropic.

BTCPay Server, безкоштовний інструмент з відкритим вихідним кодом, який бізнеси використовують для приймання платежів у Bitcoin, у неділю закликав операторів вимкнути свої сервери після повідомлень про те, що зловмисники спустошували гарячі гаманці, підключені до них.

«Ми отримуємо повідомлення про те, що гарячі гаманці на серверах BTCPay спустошуються несанкціонованими зловмисниками», — написав проєкт у твіті о 17:25 за східним часом. «Якщо ви запускаєте інстанс, будь ласка, вимкніть його (./btcpay-down.sh), доки ми не завершимо розслідування».

Приблизно через дві години засновник BTCPay Ніколя Дор'є заявив, що повідомлення, схоже, стосуються випусків, старших за версію 2.4.2, і що зловмисник входив на уражені сервери з правами адміністратора.

Пізніше в неділю проєкт повідомив, що його розслідування виявило вектор атаки, націлений на інстанси, які працюють на версії 2.4.1, випущеній 23 липня, або старших. «Ми не маємо достовірних повідомлень про спустошення гарячих гаманців у користувачів, які працюють на останньому випуску 2.4.7», — йдеться в повідомленні, де також усіх закликають оновлювати своє програмне забезпечення та просять постраждалих користувачів надіслати подробиці й логи своїй команді з безпеки.

Деякі хостинг-провайдери, зокрема LunaNode, вимкнули інстанси BTCPay автоматично, щоб запобігти використанню старших версій, повідомив проєкт. BTCPay не повідомив, скільки серверів було уражено або скільки Bitcoin було викрадено.

Myriad: Новий історичний максимум BTC? Натисніть, щоб зробити свій прогноз.
Myriad: Новий історичний максимум BTC? Натисніть, щоб зробити свій прогноз.

Гарячі гаманці та екстрене оновлення BTCPay

Оскільки BTCPay розміщується самостійно, кожен продавець запускає програмне забезпечення на власному сервері, і немає центрального оператора, який міг би вимикати інстанси. Продавці можуть обрати використання гарячого гаманця, який зберігає сід-фразу гаманця на цьому підключеному до інтернету сервері, щоб він міг автоматично підписувати транзакції. Власна документація BTCPay позначає цю функцію як «НЕБЕЗПЕКА» і попереджає, що вона «має наслідки для безпеки».

BitcoinBTC · USD

$78,016−2.88%

26 жовт28 жовт30 жовт31 жовт2 лист

$81.8k$80.1k$78.4k$76.7k

24h HighHigh$78,728

24h LowLow$77,599

VolVol$636.6M

→

Купити Bitcoin за USDT

Працює на Jupiter

Дані про ціни від CoinGeckoCoinGeckoБільше Bitcoin новин та прогнозів →

Ці атаки сталися через кілька днів після того, як BTCPay випустив версію 2.4.7 у четвер як екстрене оновлення, що виправляє одну критичну та кілька вразливостей середньої тяжкості, які, за його словами, були доведені до його відома через сканер програмного забезпечення з відкритим вихідним кодом Anthropic. BTCPay не повідомив, чи використовували атаки якісь із цих недоліків.

Це не перший випадок загрози безпеці для проєкту цього року. У серпні BTCPay попередив, що критична вразливість у всіх версіях до 2.4.2 активно використовується, і закликав користувачів оновити або вимкнути свої сервери. Прихильники проєкту згодом профінансували винагороду за відновлення у розмірі 10% від будь-яких повернутих викрадених коштів, але не більше 3 BTC.

Приєднуйтесь до понад 72 000 читачів

Додати в Google

Додайте Decrypt як бажане джерело, щоб бачити більше наших історій у Google.