Vulnerabilità di BTCPay Server Sfruttata, Prosciugati i Nodi Lightning dei Commercianti
Una significativa falla di sicurezza in BTCPay Server, un processore di pagamenti Bitcoin open-source, è attualmente sfruttata, consentendo agli attaccanti di sottrarre Bitcoin dai nodi Lightning Network. Venerdì, BTCPay ha riconosciuto gli attacchi e ha consigliato agli operatori che utilizzano LND di aggiornare alla versione 2.4.2 o di mettere offline i propri server vulnerabili. Sebbene il numero di utenti colpiti e l'ammontare di Bitcoin rubati non siano stati divulgati, sia Foundation che Citadel21 hanno riportato perdite. Questa vulnerabilità ha permesso l'accesso remoto ai file .macaroon, consentendo agli attaccanti di controllare i canali e trasferire fondi senza autenticazione del server. Scoperta dal Bitcoin Red Team, la falla è attribuita a Craig Raw, Rob Hamilton, Calle e Evan Kaloudis. BTCPay ha sottolineato l'urgenza di aggiornamenti o spegnimenti dei server, con un'analisi post-mortem in arrivo.
Fatti principali
- Vulnerabilità critica in BTCPay Server sfruttata, prosciugando Bitcoin dai nodi Lightning Network.
- BTCPay Server ha confermato gli attacchi venerdì sera, esortando gli operatori LND ad aggiornare alla versione 2.4.2 o a mettere offline i server.
- Gli attaccanti hanno avuto accesso remoto ai file .macaroon contenenti le credenziali per controllare i nodi Lightning LND.
- Foundation, un produttore di hardware wallet Bitcoin, ha visto prosciugare il proprio nodo Lightning; il CEO Zach Herbert lo ha confermato.
- Citadel21, una pubblicazione Bitcoin, ha anche riportato che il suo nodo Lightning è stato svuotato.
- La vulnerabilità non colpisce i portafogli on-chain standard generati all'interno di BTCPay.
- La falla è stata scoperta dai membri del Bitcoin Red Team Craig Raw, Rob Hamilton, Calle e Evan Kaloudis.
- La scoperta fa parte di un'iniziativa di revisione del codice assistita da IA che ha generato migliaia di risultati.
- BTCPay non ha divulgato il numero di server colpiti o il totale di Bitcoin rubati.
- Agli operatori è stato consigliato di applicare la patch immediatamente o di mettere offline i server.
- L'impatto completo è previsto dopo l'analisi post-mortem.
Entità
Artisti
- Zach Herbert
- hodlonaut
- Craig Raw
- Rob Hamilton
- Calle
- Evan Kaloudis
Istituzioni
- BTCPay Server
- Foundation
- Citadel21
- Bitcoin Red Team