BTCPay Server bekreftet at angripere utnyttet en kritisk sårbarhet for å stjele midler fra brukere som kjørte en hvilken som helst versjon før 2.4.2, og oppfordret operatører til å oppdatere umiddelbart.
Den selvhostede Bitcoin betalingsprosessoren lanserte versjon 2.4.2 for å lukke sårbarheten. Problemet lot en uautentisert ekstern angriper hente .macaroon legitimasjonsfiler for LND, en vanlig implementering av Lightning Network.
Dette må BTCPay Server-brukere gjøre
De stjålne legitimasjonene kan gi en angriper full kontroll over en LND-node. Angriperen kan da flytte midlene direkte ut av noden.
“Vi har bekreftet at angripere utnyttet denne sårbarheten. Brukere ble rammet og midler ble stjålet. Vi publiserer ikke tekniske detaljer ennå fordi operatører fortsatt trenger tid til å oppdatere,” sa teamet.
Følg oss på X for å få de siste nyhetene når de skjer
Risikoen gjelder spesielt for installasjoner som bruker LND. Andre Lightning-oppsett og brukere uten Lightning risikerer ingen eksponering av legitimasjon, men prosjektet oppfordret likevel til oppdatering. BTCPay Servers egne on-chain og hot lommebøker er ikke berørt.
Operatører som bruker LND bør oppdatere til versjon 2.4.2 og LND 0.21.1 gjennom vedlikeholdsdashbordet. Oppdateringen genererer nye macaroon-filer automatisk. De som ikke kan oppdatere umiddelbart, har fått beskjed om å ta serverne sine offline.
Prosjektet anbefalte også LND-brukere å gjennomgå nodeaktivitet for ukjente noder, uventede kanalstenginger og betalinger de ikke har gjort.
Et nytt slag mot Bitcoin egen forvaring
Avsløringen kommer etter en annen stor sikkerhetshendelse. Galaxy Research bekreftet fredag at 1719 Bitcoin (BTC), verdt omtrent $ 111 millioner, så langt er stjålet fra Coldcard-brukere. Firmaet forventer at de totale tapene vil overstige $ 130 millioner når alle sakene er verifisert.
Ingen av hendelsene rørte Bitcoin protokollen i seg selv. Begge eksponerte i stedet svakheter i verktøyene som er bygd rundt den.
Abonner på vår YouTube-kanal for å se ledere og journalister gi ekspertinnsikt
