Vigtige indsigter
- Bitcoin-nyheder: BTCPay Server har identificeret en angrebsvektor, der påvirker version 2.4.1 og ældre.
- Ifølge rapporter tømte angriberne Bitcoin-hot wallets, mens det samlede tab ikke er blevet offentliggjort.
- BTCPay har ikke rapporteret om troværdige tyverier fra tegnebøger, der involverer den seneste softwareversion, 2.4.7.
BTCPay Server har identificeret en sikkerhedsfejl, der rammer ældre softwareversioner, efter at der er indløbet rapporter om tyverier fra Bitcoin-wallets. Denne udvikling tilføjede endnu en sikkerhedshændelse til Bitcoin-nyhederne mandag den 2. november.
Bitcoin-betalingsudbyderen oplyste, at angriberne havde rettet angreb mod instanser, der kørte version 2.4.1 eller tidligere. Undersøgelsen afslørede dog ingen troværdige rapporter om tyveri af wallets, der involverede den nyeste version, 2.4.7.
Projektet opfordrede operatører til at opdatere deres installationer og indberette mistanke om sikkerhedsbrud. BTCPay oplyste ikke antallet af ofre eller det samlede beløb, der blev stjålet. Samtidig fik opdateringen også øget opmærksomhed, efter at det nylige hack af Binance rystede det bredere kryptomarked.
Bitcoin-nyheder: BTCPay Server identificerer angrebsvektor i ældre versioner
BTCPay Server bekræftede resultaterne i en officiel X-erklæring den 2. november. Undersøgelsen afslørede en angrebsvektor, der påvirker software udgivet den 23. juli 2026 eller tidligere.
De berørte versioner omfattede 2.4.1 og tidligere udgivelser. Projektet havde ikke offentligt forklaret den tekniske mekanisme bag det seneste angreb.
Bitcoin-nyheden fulgte efter en tidligere advarsel om uautoriserede udbetalinger fra operatørernes Bitcoin-hot-wallets. BTCPay opfordrede i første omgang de berørte operatører til at lukke deres serverinstanser ned, mens efterforskerne undersøgte hændelserne. Platformen leverede også instruktioner til nedlukning for at hjælpe operatørerne med at reagere på potentielle sikkerhedsbrud.
Efterforskerne havde dog ikke oplyst, hvordan angriberne havde fået adgang til de berørte tegnebøger. BTCPay tilbageholdt ligeledes oplysninger om antallet af kompromitterede installationer og stjålne Bitcoin. Projektet opfordrede de berørte brugere til at indsende relevante oplysninger og serverlogfiler til [email protected].
Disse manglende detaljer begrænsede de offentlige konklusioner fra undersøgelsen. De forhindrede også en uafhængig vurdering af angrebets økonomiske konsekvenser.
Bitcoin-nyheder: Seneste BTCPay-opdatering følger sikkerhedsrettelser
BTCPay-serverens GitHub-repository bekræftede, at udviklerne udgav version 2.4.7 den 29. oktober. Udgivelsen løste problemer vedrørende sikkerhed, pålidelighed og betalingsregnskab. Udviklerne anbefalede at opdatere, især for servere, der understøtter flere forhandlere.
I GitHubs udgivelsesnoter blev der dokumenteret 85 sikkerhedsproblemer, der blev løst gennem opdateringen. Disse omfattede ét kritisk, 13 med høj alvorlighed, 52 med middel alvorlighed og 19 med lav alvorlighed.
Rettelserne omfattede autentificeringskontroller, applikationstilladelser, wallet-operationer og betalingsbehandlingsfunktioner. Projektets Bitcoin-nyhedsmeddelelse angav dog ikke, hvilken specifik sårbarhed der gjorde de rapporterede udbetalinger fra hot wallets mulige. De tilgængelige udtalelser fastslog derfor ikke, om en af de dokumenterede rettelser direkte afhjælpede det seneste angreb.
BTCPay rapporterede dog ikke om nogen troværdige tilfælde af tyveri fra hot wallets, der involverede installationer, der kørte version 2.4.7. Denne vurdering afspejlede indberettede hændelser snarere end en garanti mod fremtidig udnyttelse. Denne skelnen var fortsat relevant, da platformen fortsatte med at indsamle beviser fra de berørte brugere.
Sikkerheden ved Bitcoin-hot wallets under fornyet lup
BTCPay Server fungerer som en open-source betalingsprocessor for kryptovaluta uden opbevaring. Forhandlere kan modtage Bitcoin-betalinger direkte uden at overdrage opbevaringen til en betalingsformidler. I dokumentationen for tegnebøgerne skelnes der dog mellem hot wallets og eksternt administrerede tegnebøger.
Hot wallets opbevarer signeringsoplysningerne på serveren, hvilket giver operatørerne mulighed for at godkende betalinger via brugergrænsefladen. Denne løsning udgør en sikkerhedsrisiko, hvis angribere får adgang til en konto eller en server.
Hændelsen med platformens Bitcoin-nyheder fremhævede denne forskel, uden at angribernes præcise adgangsmetode blev fastslået. BTCPays dokumentation understøtter også hardware-wallets og konfigurationer, der opbevarer private nøgler uden for serveren.
Operatører, der bruger eksterne tegnebøger, kan modtage betalinger via udvidede offentlige nøgler. Disse konfigurationer kræver normalt ikke, at private signeringsnøgler videregives til betalingsserveren. BTCPay advarer dog om, at kompromitterede hostingmiljøer kan medføre andre betalingsrelaterede risici.
Disse forskelle er vigtige, når man vurderer den potentielle rækkevidde af et kryptohack. En kompromitteret betalingsinstallation betyder ikke automatisk, at angribere kan bruge midler, der opbevares eksternt.
Tidligere Lightning-angreb rettet mod adgangskoder
Hændelsen i november fulgte efter et separat sikkerhedsbrud hos BTCPay, der involverede Lightning Network Daemon (LND) i august. Den 7. august bekræftede BTCPay, at angribere udnyttede en kritisk sårbarhed til at få fat i LND-adgangsoplysningsfiler.
Filerne indeholdt macaroon-adgangskoder, der blev brugt til at styre Lightning-noder og godkende transaktioner. BTCPay oplyste, at angribere kunne bruge de udsatte adgangskoder til at overtage kontrollen med de berørte noder og overføre midler.
Projektet bekræftede, at angribere udnyttede sårbarheden og stjal midler fra brugerne. Version 2.4.2 løste sårbarheden og opgraderede LND til version 0.21.1.
Opdateringen genererede desuden automatisk nye Macaroon-adgangskoder på standardinstallationer af BTCPay. BTCPay rådede operatører til at undersøge uautoriserede betalinger, uventede kanalafslutninger, ukendte peers og uoverensstemmelser i deres saldoer.
Desuden begrænsede man midlertidigt den offentlige LND-adgang til Docker-installationer via BTCPay-domæner og Tor-onion-adresser. Operatører, der anvendte separat administrerede reverse-proxyer eller videresendte porte, måtte selv skifte adgangskoder. BTCPay præciserede, at sårbarheden fra august ikke påvirkede almindelige on-chain-tegnebøger, herunder hot wallets.
Den seneste hændelse i forbindelse med bitcoin-nyhederne drejede sig om uautoriserede udbetalinger fra Bitcoin-hot wallets og ikke om kompromitterede Lightning-adgangskoder. BTCPay har endnu ikke fastslået, om angrebet i november havde nogen teknisk sammenhæng med sårbarheden i august.
Undersøgelsen har heller ikke fastslået, hvor mange operatører der er berørt, eller kvantificeret deres tab. Indtil videre har BTCPay identificeret den berørte softwareversion og opfordret operatørerne til at installere version 2.4.7.