أهم النقاط
- أخبار البيتكوين: اكتشف خادم BTCPay Server ثغرة أمنية تؤثر على الإصدارات 2.4.1 والإصدارات الأقدم.
- وأفادت التقارير بأن المهاجمين استنزفوا أموال محافظ البيتكوين الساخنة، في حين لم يتم الكشف عن حجم الخسائر الإجمالية.
- وأفاد BTCPay بعدم وجود حالات سرقة موثوقة للمحافظ تتعلق بأحدث إصدار من برمجياته، وهو الإصدار 2.4.7.
اكتشف خادم BTCPay ثغرة أمنية تستهدف الإصدارات القديمة من البرنامج عقب ورود تقارير عن سرقات لمحافظ البيتكوين. وأضاف هذا التطور حادثة أمنية أخرى إلى أخبار البيتكوين يوم الاثنين، 2 نوفمبر.
وأفادت شركة معالجة مدفوعات البيتكوين أن المهاجمين استهدفوا الأنظمة التي تعمل بالإصدار 2.4.1 أو ما قبله. ومع ذلك، لم تكشف تحقيقاتها عن أي تقارير موثوقة عن سرقة محافظ تتعلق بالإصدار الأحدث، 2.4.7.
وحث المشروع المشغلين على تحديث أنظمتهم والإبلاغ عن أي حالات اختراق مشتبه بها. ولم تكشف BTCPay عن عدد الضحايا أو إجمالي الأموال المسروقة. وفي الوقت نفسه، اكتسب هذا التحديث زخمًا بعد أن هز الاختراق الأخير لمنصة Binance سوق العملات المشفرة ككل.
أخبار البيتكوين: خادم BTCPay يحدد مصدر الهجوم في الإصدارات القديمة
أكدت شركة BTCPay Server هذه النتائج في بيان رسمي نشرته على منصة X في 2 نوفمبر. وقد كشفت التحقيقات التي أجرتها الشركة عن وجود ثغرة أمنية تؤثر على الإصدارات التي تم طرحها في 23 يوليو 2026 أو قبل ذلك.
وشملت الإصدارات المتأثرة الإصدار 2.4.1 والإصدارات الأقدم. ولم يشرح المشروع علنًا الآلية التقنية الكامنة وراء الهجوم الأخير.
جاءت أخبار البيتكوين هذه في أعقاب تحذير سابق بشأن عمليات سحب غير مصرح بها من محافظ البيتكوين الساخنة الخاصة بالمشغلين. وحثت BTCPay في البداية المشغلين المتضررين على إيقاف تشغيل خوادمهم مؤقتًا بينما يقوم المحققون بفحص الحوادث. كما قدمت المنصة تعليمات لإيقاف التشغيل لمساعدة المشغلين على الاستجابة لأي اختراقات محتملة.
ومع ذلك، لم يكشف المحققون عن الكيفية التي تمكن بها المهاجمون من الوصول إلى المحافظ المتضررة. كما امتنعت شركة BTCPay عن الكشف عن معلومات بشأن عدد التثبيتات التي تعرضت للاختراق وكمية البيتكوين المسروقة. وطلب المشروع من المستخدمين المتضررين إرسال المعلومات ذات الصلة وسجلات الخادم إلى [email protected].
وقد حدّت هذه التفاصيل المعلقة من النتائج العامة للتحقيق. كما حالت دون إجراء تقييم مستقل للتأثير المالي للهجوم.
أخبار البيتكوين: آخر تحديث لـ BTCPay يتضمن إصلاحات أمنية
أكد مستودع GitHub الخاص بخادم BTCPay أن المطورين أطلقوا الإصدار 2.4.7 في 29 أكتوبر. عالج هذا الإصدار مشكلات تتعلق بالأمان والموثوقية ومحاسبة المدفوعات. وأوصى المطورون بالتحديث، خاصةً بالنسبة للخوادم التي تدعم العديد من التجار.
وثقت ملاحظات الإصدار على GitHub 85 ثغرة أمنية تم معالجتها من خلال التحديث. وشملت هذه الثغرات ثغرة واحدة خطيرة، و13 ثغرة عالية الخطورة، و52 ثغرة متوسطة الخطورة، و19 ثغرة منخفضة الخطورة.
وشملت الإصلاحات ضوابط المصادقة، وأذونات التطبيقات، وعمليات المحفظة، ووظائف معالجة المدفوعات. ومع ذلك، لم يحدد البيان الإخباري الخاص بالمشروع بشأن البيتكوين الثغرة المحددة التي مكنت من إجراء عمليات السحب المبلغ عنها من المحفظة الساخنة. وبالتالي، لم تثبت البيانات المتاحة ما إذا كان أحد الإصلاحات الموثقة قد عالج الهجوم الأخير بشكل مباشر.
ومع ذلك، لم تبلغ «BTCPay» عن أي حالات سرقة موثوقة من المحافظ الساخنة تتعلق بالتثبيتات التي تعمل بالإصدار 2.4.7. وقد عكس هذا التقييم الحوادث المبلغ عنها، ولم يكن ضمانًا ضد أي استغلال مستقبلي. وظل هذا التمييز ذا صلة لأن المنصة واصلت جمع الأدلة من المستخدمين المتضررين.
أمن محافظ البيتكوين الساخنة يواجه تدقيقًا متجددًا
يعمل خادم BTCPay كمعالج دفع للعملات المشفرة مفتوح المصدر وغير أمين. يمكن للتجار تلقي مدفوعات البيتكوين مباشرةً دون نقل الحراسة إلى وسيط دفع. ومع ذلك، فإن وثائق المحفظة الخاصة به تميز بين المحافظ الساخنة والمحافظ المدارة خارجيًا.
تحتفظ المحافظ الساخنة ببيانات اعتماد التوقيع على الخادم، مما يتيح للمشغلين المصادقة على المدفوعات عبر الواجهة. ويشكل هذا الترتيب نقطة ضعف عندما ينجح المهاجمون في اختراق حساب أو خادم.
وقد سلطت حادثة أخبار البيتكوين المتعلقة بالمنصة الضوء على هذا الفرق دون تحديد طريقة الوصول الدقيقة للمهاجمين. كما تدعم وثائق BTCPay المحافظ المادية والتكوينات التي تحتفظ بالمفاتيح الخاصة خارج الخادم.
يمكن للمشغلين الذين يستخدمون محافظ خارجية تلقي المدفوعات من خلال مفاتيح عامة ممتدة. ولا تتطلب هذه التكوينات عادةً الكشف عن مفاتيح التوقيع الخاصة لخادم الدفع. ومع ذلك، تحذر BTCPay من أن بيئات الاستضافة المخترقة قد تؤدي إلى مخاطر أخرى متعلقة بالدفع.
تكتسب هذه الاختلافات أهمية عند تقييم النطاق المحتمل لاختراق العملات المشفرة. فاختراق نظام الدفع لا يعني تلقائيًا أن المهاجمين يمكنهم إنفاق الأموال المودعة خارجيًا.
استغلال سابق لشبكة Lightning استهدف بيانات الاعتماد
جاء الحادث الذي وقع في نوفمبر في أعقاب خرق أمني منفصل لـ BTCPay شمل برنامج Lightning Network Daemon (LND) في أغسطس. في 7 أغسطس، أكدت BTCPay أن المهاجمين استغلوا ثغرة أمنية خطيرة للحصول على ملفات بيانات اعتماد LND.
تضمنت الملفات بيانات اعتماد من نوع «ماكارون» تُستخدم للتحكم في عقد شبكة «لايتنينغ» والموافقة على العمليات. وأفادت «BTCPay» بأن المهاجمين يمكنهم استخدام بيانات الاعتماد التي تم الكشف عنها للتحكم في العقد المتأثرة وتحويل الأموال.
وأكد المشروع أن المهاجمين استغلوا هذه الثغرة وسرقوا أموالًا من المستخدمين. وقد عالج الإصدار 2.4.2 هذه الثغرة وقام بترقية LND إلى الإصدار 0.21.1.
كما أعاد التحديث إنشاء بيانات اعتماد «ماكارون» تلقائيًا في التثبيتات القياسية لـ BTCPay. ونصحت BTCPay المشغلين بفحص المدفوعات غير المصرح بها، وعمليات إغلاق القنوات غير المتوقعة، والأقران غير المألوفين، والتباينات في أرصدتهم.
كما فرضت الشركة قيودًا مؤقتة على الوصول العام إلى شبكة LND في عمليات النشر عبر Docker من خلال نطاقات BTCPay وعناوين Tor onion. واضطر المشغلون الذين يستخدمون بروكسيات عكسية تُدار بشكل منفصل أو منافذ مُحوَّلة إلى تغيير بيانات الاعتماد بأنفسهم. وأوضحت BTCPay أن الثغرة الأمنية التي ظهرت في أغسطس لم تؤثر على المحافظ العادية على السلسلة، بما في ذلك المحافظ الساخنة.
تعلقت أحدث حادثة في أخبار البيتكوين بعمليات سحب غير مصرح بها من محافظ البيتكوين الساخنة، وليس بتسرب بيانات اعتماد شبكة لايتنينغ. ولم تحدد شركة BTCPay بعد ما إذا كان الهجوم الذي وقع في نوفمبر يرتبط تقنيًّا بالثغرة الأمنية التي تم الكشف عنها في أغسطس.
كما لم يحدد التحقيق عدد المشغلين المتضررين أو يقدّر حجم خسائرهم. وفي الوقت الحالي، حددت شركة BTCPay مجموعة البرامج المتضررة وحثت المشغلين على تثبيت الإصدار 2.4.7.
