BTCPay Server предупредил пользователей о необходимости отключить свои платежные серверы после получения сообщений о том, что злоумышленники получили несанкционированный доступ к более старым установкам и вывели средства из подключенных горячих биткоин-кошельков.
Краткое содержание
- BTCPay Server призвал операторов отключить свои платежные серверы после получения сообщений о том, что злоумышленники получили несанкционированный доступ и вывели средства из подключенных горячих биткоин-кошельков.
- В ходе расследования проекта был выявлен вектор атаки, затрагивающий установки версии 2.4.1 или более ранних, тогда как в отношении последней версии 2.4.7 достоверных сообщений о выводе средств из кошельков не поступало.
- Соучредитель BTCPay Server Николя Дорье заявил, что злоумышленникам удалось войти с правами администратора на затронутых экземплярах, хотя следователям еще предстоит выяснить, как они получили доступ.
- Хостинг-провайдеры, включая LunaNode, приняли предупредительные меры и отключили некоторые установки, а затронутых пользователей попросили предоставить подробности инцидента и серверные логи.
- BTCPay Server не раскрыл общую сумму украденной криптовалюты или количество скомпрометированных серверов, и его расследование продолжается.
В предупреждении о безопасности от 2 ноября открытый процессор биткоин-платежей сообщил, что расследует сообщения о несанкционированном выводе средств из кошельков, и попросил операторов временно отключить свои экземпляры с помощью скрипта ./btcpay-down.sh.
Изначально предупреждение касалось всех пользователей, пока команда работала над выяснением того, как злоумышленники получали доступ. Последующее расследование сузило предполагаемый вектор атаки до установок, работающих под управлением версии 2.4.1, выпущенной 23 июля 2026 года, или более ранних.
BTCPay Server сообщил, что не получал достоверных сообщений о выводе средств из горячих кошельков, связанных с последней версией 2.4.7, и призвал операторов поддерживать свое программное обеспечение в актуальном состоянии.
Проект не раскрыл, сколько криптовалюты было украдено, сколько серверов было скомпрометировано или сколько пользователей сообщили о потерях.
BTCPay Server определяет старые установки как цели атаки
Согласно последнему уведомлению проекта, в ходе расследования инцидента был выявлен вектор атаки, затрагивающий более старые версии платежного программного обеспечения, хотя команда еще публично не объяснила техническую уязвимость, позволившую осуществить вторжения.
BTCPay Server — это самостоятельно размещаемый процессор криптовалютных платежей, который позволяет продавцам и частным лицам принимать платежи в биткоинах, не полагаясь на традиционного платежного посредника. Операторы могут управлять собственной платежной инфраструктурой и подключать кошельки для получения и управления средствами.
Сообщалось, что атаки затрагивали горячие кошельки, которые остаются подключенными к онлайн-системам и могут использоваться для отправки криптовалютных транзакций. Средства, хранящиеся в этих кошельках, могут оказаться под угрозой, если злоумышленники получат достаточный доступ к системам, которые ими управляют.
В своем первоначальном предупреждении BTCPay Server сообщил, что получает сообщения о том, что горячие кошельки опустошаются несанкционированными злоумышленниками. Опустошение кошелька предполагает перевод доступных средств с одного или нескольких адресов на другой адрес.
Инструкции проекта предписывали операторам отключить свои экземпляры, пока расследование продолжается. Его последующее обновление предоставило более конкретную информацию о затронутых версиях программного обеспечения и об отсутствии достоверных сообщений о выводе средств, связанных с выпуском 2.4.7.
Пользователям, которые считают, что их серверы были скомпрометированы, было предложено отправить сведения об инциденте и соответствующие системные журналы на [email protected].
Основатель BTCPay Server заявил, что злоумышленники получили доступ администратора
Соучредитель BTCPay Server Николя Дорье предоставил дополнительные сведения о предполагаемых вторжениях в отдельном заявлении от 2 ноября.
Дорье сообщил, что публичные серверы проекта, на которых работала версия 2.4.7, не подвергались атаке. Судя по доступным ему отчетам, затронутые установки, по-видимому, работали на версиях, выпущенных до 2.4.2.
Он объяснил, что злоумышленнику удалось войти с привилегиями администратора на затронутых экземплярах, но команда все еще пыталась определить, каким образом был получен этот доступ.
Доступ администратора может дать кому-либо контроль над важными настройками и функциями сервера, в зависимости от конфигурации программного обеспечения и разрешений, доступных учетной записи.
Последний инцидент последовал за более ранней утечкой безопасности в августе, когда BTCPay Server предупредил об активно эксплуатируемой уязвимости, которая могла привести к краже средств.
Как ранее сообщал crypto.news, проект призвал пользователей немедленно обновиться до версии 2.4.2 или отключить свои серверы, если они не могут установить исправление безопасности.
Августовская уязвимость позволяла злоумышленникам получать учетные данные macaroon администратора LND из затронутых установок и получать доступ к подключенным кошелькам Lightning. BTCPay Server заявил, что эта уязвимость не затрагивала обычные ончейн-кошельки, включая горячие кошельки.
Впоследствии проект объявил вознаграждение за возврат в размере 10% от возвращенных средств, но не более 3 BTC, если все украденные активы будут возвращены.
Фонд BTCPay Server выделил по 0,21 BTC разработчику Sparrow Wallet Крейгу Роу и фонду Bitcoin Red Team за обнаружение и сообщение о более ранней уязвимости.
Хостинг-провайдеры отключили некоторые экземпляры BTCPay Server
После последнего предупреждения хостинг-провайдеры начали принимать предупредительные меры, чтобы старые установки не оставались уязвимыми.
В еще одном обновлении от 2 ноября BTCPay Server сообщил, что пользователи, запускающие программное обеспечение через хостинг-провайдера, могут обнаружить, что их экземпляры уже были автоматически отключены.
Проект поблагодарил LunaNode и другие хостинговые компании за быстрый ответ после первоначального объявления.
Такие отключения означают, что некоторые операторы могут не иметь доступа к своим платежным серверам до тех пор, пока их хостинг-провайдер не восстановит обслуживание или затронутая установка не будет снова запущена.
BTCPay Server не опубликовал полный список хостинг-провайдеров, приостановивших работу экземпляров, и не раскрыл, сколько серверов было отключено.
Предупреждение о безопасности появилось после еще одного недавнего инцидента, связанного с инфраструктурой биткоин-платежей. В сентябре Core Lightning предупредил операторов о том, что злоумышленники нацелились на старые, неисправленные узлы Lightning.
Core Lightning сообщил, что получил сообщения об атаках на уязвимые установки, хотя не установил, привели ли эти попытки к краже средств.
Расследование в сфере безопасности продолжается, пока пользователи сообщают о потерях в кошельках
Самостоятельно размещаемая архитектура BTCPay Server дает операторам прямой контроль над их платежными системами, включая обновления программного обеспечения, администрирование серверов и конфигурации кошельков.
Проект рекомендовал ограничивать количество криптовалюты, хранящейся в горячих кошельках, и перемещать избыточные средства в холодное хранение, где закрытые ключи хранятся в автономном режиме.
Его последний выпуск, версия 2.4.7, был определен как версия, в отношении которой команда не получала достоверных сообщений об опустошении кошельков. В заявлении не утверждалось, что каждый более ранний выпуск был скомпрометирован или что каждая установка, работающая на затронутой версии, понесла потери.
BTCPay Server попросил затронутых операторов сохранить и передать журналы своей команде безопасности, поскольку следователи продолжают изучать административный доступ, о котором сообщил Дорье.
Публичные сроки завершения расследования не предоставлены, и проект не объявил о каком-либо возврате криптовалюты, изъятой из затронутых кошельков.
