Основные выводы
- Новости о биткойне: в BTCPay Server обнаружен вектор атаки, затрагивающий версии 2.4.1 и более ранние.
- Сообщается, что злоумышленники опустошили «горячие» кошельки с биткойнами, однако общая сумма убытков не разглашается.
- Компания BTCPay не зафиксировала ни одного достоверного случая кражи средств из кошельков, связанного с использованием её последней версии программного обеспечения — 2.4.7.
Компания BTCPay Server выявила уязвимость, затрагивающую более старые версии программного обеспечения, после появления сообщений о кражах средств из биткоин-кошельков. Это событие стало очередным инцидентом в сфере безопасности, о котором сообщалось в новостях о биткоине в понедельник, 2 ноября.
Провайдер услуг по обработке платежей в биткоинах сообщил, что злоумышленники нацелились на серверы, работающие под управлением версии 2.4.1 или более ранних. Однако в ходе расследования не было выявлено достоверных сообщений о краже средств из кошельков, использующих последнюю версию — 2.4.7.
Проект настоятельно призвал операторов обновить свои установки и сообщать о подозрениях в взломе. Компания BTCPay не раскрыла количество пострадавших или общую сумму похищенных средств. Между тем, данное обновление также привлекло внимание после того, как недавний взлом биржа Binance потряс криптовалютный рынок в целом.
Новости о биткоине: сервер BTCPay выявил вектор атаки в старых версиях
Компания BTCPay Server подтвердила эти выводы в официальном заявлении, опубликованном в X 2 ноября. В ходе расследования был выявлен вектор атаки, затрагивающий программное обеспечение, выпущенное 23 июля 2026 года или ранее.
К уязвимым версиям относятся версия 2.4.1 и более ранние выпуски. Разработчики проекта пока не дали публичного объяснения техническому механизму, лежащему в основе последней атаки.
Эта новость о биткоине последовала за ранее опубликованным предупреждением о несанкционированных списаниях средств с «горячих» биткоин-кошельков операторов. Компания BTCPay первоначально настоятельно рекомендовала затронутым операторам отключить свои серверные инстансы на время расследования инцидентов. Платформа также предоставила инструкции по отключению, чтобы помочь операторам реагировать на возможные взломы.
Однако следователи не раскрыли, каким образом злоумышленники получили доступ к затронутым кошелькам. Компания BTCPay также не сообщила информацию о количестве скомпрометированных установок и похищенных биткоинов. Проект обратился к затронутым пользователям с просьбой направлять соответствующую информацию и журналы серверов по адресу [email protected].
Отсутствие этих важных сведений ограничило объем обнародованных результатов расследования. Кроме того, это не позволило провести независимую оценку финансовых последствий атаки.
Новости о биткоине: последнее обновление BTCPay включает исправления, связанные с безопасностью
В репозитории GitHub сервера BTCPay подтверждено, что 29 октября разработчики выпустили версию 2.4.7. В этом обновлении были устранены проблемы, связанные с безопасностью, надёжностью и учётом платежей. Разработчики рекомендовали обновить программное обеспечение, в особенности владельцам серверов, обслуживающих нескольких продавцов.
В примечаниях к выпуску на GitHub было указано 85 уязвимостей, устраненных в рамках данного обновления. Среди них была одна уязвимость критической степени, 13 — высокой степени, 52 — средней степени и 19 — низкой степени.
Исправления касались механизмов аутентификации, разрешений приложений, операций с кошельками и функций обработки платежей. Однако в информационном сообщении проекта, посвящённом новостям о биткоине, не было указано, какая именно уязвимость позволила осуществить заявленные выводы средств из «горячих» кошельков. Соответственно, из имеющихся заявлений невозможно было установить, устраняло ли одно из задокументированных исправлений непосредственно последнюю атаку.
Тем не менее, компания BTCPay не зафиксировала ни одного достоверного случая опустошения «горячих» кошельков на установках, работающих под версией 2.4.7. Данная оценка основывалась на зарегистрированных инцидентах, а не являлась гарантией защиты от возможных злоупотреблений в будущем. Это различие оставалось актуальным, поскольку платформа продолжала собирать доказательства от пострадавших пользователей.
Безопасность «горячих» кошельков Bitcoin вновь становится предметом пристального внимания
BTCPay Server представляет собой платежный процессор с открытым исходным кодом, не осуществляющий хранение криптовалюты. Продавцы могут принимать платежи в биткойнах напрямую, не передавая права хранения платежному посреднику. Однако в документации по кошелькам компании «горячие» кошельки отличаются от кошельков, управляемых внешними сторонами.
«Горячие» кошельки хранят учетные данные для подписи на сервере, что позволяет операторам авторизовывать платежи через интерфейс. Такая схема создает уязвимость в случае взлома учетной записи или сервера злоумышленниками.
Инцидент с новостями о биткойнах на платформе продемонстрировал это различие, не установив при этом точного способа доступа злоумышленников. Документация BTCPay также поддерживает аппаратные кошельки и конфигурации, при которых закрытые ключи хранятся вне сервера.
Операторы, использующие внешние кошельки, могут принимать платежи через расширенные открытые ключи. Такие конфигурации, как правило, не требуют раскрытия закрытых ключей подписи платежному серверу. Тем не менее, BTCPay предупреждает, что взломанные хостинговые среды могут создавать другие риски, связанные с проведением платежей.
Эти различия имеют значение при оценке потенциального масштаба криптовалютного взлома. Скомпрометированная платежная система не означает автоматически, что злоумышленники смогут распоряжаться средствами, хранящимися во внешних кошельках.
Ранее уязвимость в Lightning была направлена на учетные данные
Ноябрьский инцидент последовал за отдельным случаем нарушения безопасности BTCPay, связанным с Lightning Network Daemon (LND) в августе. 7 августа компания BTCPay подтвердила, что злоумышленники воспользовались критической уязвимостью для получения файлов учетных данных LND.
Файлы содержали учетные данные macaroon, используемые для управления узлами Lightning и авторизации операций. Компания BTCPay сообщила, что злоумышленники могли использовать утечённые учетные данные для получения контроля над уязвимыми узлами и перевода средств.
Разработчики проекта подтвердили, что злоумышленники воспользовались этой уязвимостью и похитили средства пользователей. В версии 2.4.2 была устранена данная уязвимость и произведено обновление LND до версии 0.21.1.
Кроме того, в ходе обновления на стандартных установках BTCPay были автоматически сгенерированы новые учетные данные Macaroon. Компания BTCPay рекомендовала операторам проверять случаи несанкционированных платежей, неожиданного закрытия каналов, появления незнакомых участников сети, а также несоответствий в остатках на счетах.
Кроме того, компания временно ограничила общедоступный доступ к LND в развертываниях Docker через домены BTCPay и адреса Tor в формате «onion». Операторам, использующим отдельно управляемые обратные прокси-серверы или перенаправленные порты, пришлось самостоятельно менять учетные данные. Компания BTCPay пояснила, что обнаруженная в августе уязвимость не затронула обычные кошельки, работающие в цепочке блоков, включая «горячие» кошельки.
Последний инцидент, о котором сообщалось в новостях о биткойне, касался несанкционированных списаний средств с «горячих» кошельков Bitcoin, а не утечки учетных данных сети Lightning. Компания BTCPay пока не установила, имела ли ноябрьская атака какую-либо техническую связь с уязвимостью, обнаруженной в августе.
В ходе расследования также не было установлено количество затронутых операторов и не была оценена сумма их убытков. На данный момент компания BTCPay определила диапазон затронутого программного обеспечения и настоятельно рекомендовала операторам установить версию 2.4.7.
