BTCPay призывает продавцов отключить серверы после сообщений об атаке на горячие кошельки

BTCPay Server — бесплатный инструмент с открытым исходным кодом, который компании используют для приёма платежей в биткоинах, — в воскресенье призвал операторов отключить свои серверы после сообщений о том, что злоумышленники опустошали горячие кошельки, подключённые к ним.

«Мы получаем сообщения о том, что горячие кошельки на серверах BTCPay опустошаются несанкционированными злоумышленниками», — написал проект в Twitter в 17:25 по восточному времени. «Если вы запускаете экземпляр, пожалуйста, отключите его (./btcpay-down.sh), пока мы не завершим расследование».

Примерно два часа спустя основатель BTCPay Николя Дорье заявил, что сообщения, по-видимому, касаются выпусков старше версии 2.4.2, и что злоумышленник вошёл на затронутые серверы с правами администратора.

Позже в воскресенье проект сообщил, что в ходе расследования был выявлен вектор атаки, нацеленный на экземпляры, работающие под управлением версии 2.4.1, выпущенной 23 июля, или более ранних. «У нас нет достоверных сообщений об опустошении горячих кошельков у пользователей, использующих последнюю версию 2.4.7», — говорится в сообщении, где также содержится призыв ко всем поддерживать своё программное обеспечение в актуальном состоянии и просьба к пострадавшим пользователям отправить подробности и логи своей команде безопасности.

Некоторые хостинг-провайдеры, включая LunaNode, отключили экземпляры BTCPay автоматически, чтобы предотвратить эксплуатацию старых версий, сообщил проект. BTCPay не сообщил, сколько серверов было затронуто и сколько биткоинов было похищено.

Горячие кошельки и экстренное обновление BTCPay

Поскольку BTCPay размещается самостоятельно, каждый продавец запускает программное обеспечение на собственном сервере, и нет центрального оператора, который мог бы отключать экземпляры. Продавцы могут выбрать использование горячего кошелька, который хранит seed-фразу кошелька на этом подключённом к интернету сервере, чтобы он мог автоматически подписывать транзакции. Собственная документация BTCPay помечает эту функцию как «ОПАСНО» и предупреждает, что она «сопряжена с последствиями для безопасности».

BitcoinBTC · USD

$78,016−2.88%

Oct 26Oct 28Oct 30Oct 31Nov 2

$81.8k$80.1k$78.4k$76.7k

24h HighHigh$78,728

24h LowLow$77,599

VolVol$636.6M

→

Купить Bitcoin за USDT

Работает на Jupiter

Данные о ценах от CoinGeckoCoinGeckoБольше Bitcoin новостей и прогнозов →

Атаки произошли через несколько дней после того, как BTCPay выпустил версию 2.4.7 в четверг в качестве экстренного обновления, исправляющего одну критическую и несколько уязвимостей средней степени серьёзности, которые, по его словам, были доведены до его сведения через сканер передового программного обеспечения с открытым исходным кодом Anthropic. BTCPay не сообщил, использовали ли атаки какие-либо из этих уязвимостей.

Это не первый случай проблем с безопасностью для проекта в этом году. В августе BTCPay предупредил, что критическая уязвимость во всех версиях до 2.4.2 активно эксплуатируется, и призвал пользователей обновить или отключить свои серверы. Сторонники проекта позже учредили вознаграждение за возврат в размере 10% от любых возвращённых украденных средств, но не более 3 BTC.