استقر سعر Bitcoin قرب 64 ألف دولار أمريكي بعد أن تعهد داعمو BTCPay بتقديم مكافأة قدرها 3 بيتكوين مقابل اكتشاف ثغرة أمنية

يوم الاثنين، Bitcoin أي تغيير يذكر وتم تداوله حول رقم 64000 دولار؛ في الوقت نفسه، وعد مؤيدو خادم BTCPay بمكافأة تصل إلى 3 بيتكوين لاستعادة الأموال المسروقة التي نتجت عن ثغرة خطيرة في برنامج الدفع مفتوح المصدر.

يشير غياب الحماس إلى أن المتداولين ينظرون على الأرجح إلى الحدث كتهديد للتجار ومستخدمي شبكة لايتنينغ، وليس Bitcoin. وقد قُدّرت القيمة السوقية Bitcoin بنحو 1.28 تريليون دولار، وشهدت انخفاضًا بنحو نصف بالمئة وفقًا لموقع CoinMarketCap. وقد أثّر الاختراق على البرمجيات المبنية على Bitcoin وليس على الشبكة نفسها.

استقرت الأسعار بينما تم استنزاف بعض عقد Lightning

في السابع من أغسطس، كشف خادم BTCPay عن ثغرة أمنية بشكل فعلي، وحثّ مستخدميه على الترقية إلى الإصدار 2.4.2 أو إيقاف خوادمهم مؤقتًا ريثما يتم إصلاح المشكلة. ومن بين المستخدمين الذين أبلغوا عن تعرض عُقد Lightning الخاصة بهم للهجوم، مؤسستا Foundation و Citadel21. مع ذلك، لم تُفصح BTCPay عن إجمالي الخسائر أو عدد العُقد المتضررة.

أكد المشروع أن محافظه الخاصة على سلسلة الكتل، بما في ذلك المحافظ الساخنة، لم تتأثر. وبدلاً من ذلك، يمكن للمهاجمين الحصول على ماكارون الخاصة بمسؤول شبكة لايتنينجdentبيانات من مثيلات BTCPay المعرضة للخطر واستخدامها للتحكم في محافظ لايتنينج المتصلة.

يدفع الداعمون 10% من أي مبلغ يتم استرداده

لمساعدة الضحايا على استعادة أموالهم، تعهد مؤيدو BTCPay بتقديم مكافأة بقيمة 10٪ من أي أموال مسروقة يتم استردادها، بحد أقصى 3 بيتكوين إذا تم إرجاع المبلغ بالكامل.

كما تتبرع مؤسسة خوادم BTCPay بمبلغ 0.21 بيتكوين لكل من الباحث الأمني ​​كريغ راو وصندوق فريق Bitcoin الأحمر لاكتشافهما الثغرة الأمنية والإبلاغ عنها بشكل سري. وقال راو، مطور محفظة سبارو، إنه كان من بين المتضررين.

ما الذي تسمح به ثغرة الماكرون للمهاجمين؟

جميع إصدارات خادم BTCPay السابقة للإصدار 2.4.2ذلك الإصدارات التجريبية لهذا الإصدار، كانت عرضة لثغرة LND الأمنيةdentولم تُعلن BTCPay عن مُعرّفdentللحادثةdent.

الماكارون هو نوع منdentاعتماد المصادقة التي يستخدمها نظام LND لتخويل الوصول إلى واجهة برمجة التطبيقات (API). سمحت الثغرات الأمنية للمستخدمين الخبيثين بالحصول على ماكارون مسؤول LND من خادم متأثر، مما منحهم السيطرة على عقدة Lightning والمحافظ المرتبطة.

يمكن الوصول إلى آلية التحديث من خلال لوحة تحكم المسؤول ← الخادم ← الصيانة ← التحديث، حيث سيتمكن المشغلون من التحقق مما إذا كان التذييل يشير إلى الإصدار 2.4.2. إذا تعذر عليهم إجراء التحديث فورًا، تقترح BTCPay إيقاف تشغيل الخادم.

قد لا يكون تطبيق التحديثات كافيًا. يجب على المشغلين تحديث بيانات اعتماد Lightning وملفات Macaroon الخاصة بهم،dentLNDdentقد تظل بيانات الاعتماد المسروقة صالحة. وفقًا ،فإن حذف ملفات Macaroon لا يُبطل بيانات الاعتماد الصادرة سابقًاdentبل يجب استبدال قاعدة بيانات Macaroon أيضًا.

كما عالج الإصدار 2.4.2 ثغرة منفصلة لتجاوز المصادقة الثنائية TOTP عبر مصادقة Greenfield الأساسية والتي تم الإبلاغ عنها في 4 أغسطس. ومع ذلك، فإن هذا الوضع لا علاقة له بثغرة LND التي يتم استغلالها حاليًا.

لماذا تُعتبر البرامج المحيطة نقطة ضعف؟

هذا الحادثdent الأساس مشكلة في البنية التحتية، إذ أن الخلل المذكور يتعلق بطبقة التطبيق في BTCPay، وليس بقواعد الإجماع أو التشفير التي Bitcoin . ونتيجة لذلك، Bitcoin في العمل دون أي مشاكل.

لا يزال هناك وجود كبير. تشير BuiltWith إلى أن 248 موقعًا إلكترونيًا قد استخدمت خادم BTCPay في أوقات مختلفة، بما في ذلك 74 موقعًا إلكترونيًا قيد التشغيل حاليًا، على الرغم من أن هذه القياسات لا تشمل عمليات التثبيت الخاصة.

في غضون ذلك، أفادت منصة 1ML بوجود حوالي 5585 عقدة لايتنينج نشطة حاليًا، ويبلغ إجمالي كمية البيتكوين المتاحة فيها حوالي 2640 بيتكوين. وتزعم شركة ريفر أن Bitcoin اعتماد قد ازداد بنسبة 74% بحلول عام 2025، مع وصول حجم المعاملات الشهرية التي تتم عبر شبكة لايتنينج إلى أكثر من مليار دولار.

الذكاء الاصطناعي على جانبي الثغرة

أشارت شركة BTCPay إلى أن الحادثةdent الضوء أيضاً على كيفية تغيير الذكاء الاصطناعي لأمن البرمجيات. فتحليل الشفرة المدعوم بالذكاء الاصطناعي المحسّن يمكن أن يساعد المدافعين على اكتشاف الثغرات الأمنية بشكل أسرع، ولكنه قد يقلل أيضاً من تكلفة فحص قواعد الشفرة المصدرية المفتوحة الضخمة بالنسبة للمهاجمين.

ولا يقتصر هذا القلق على برامج الدفع فحسب، فقد أدى اختراق شركة كولدكارد الأخير إلى سحب ما يقرب من 1816 بيتكوين من أكثر من 5200 عنوان، وامتدت التداعيات إلى ما هو أبعد من الأموال المسروقة حيث قامت الشركة بتغيير ممارساتها المتعلقة بالاحتفاظ بالبيانات.

كما حذرت شركة Chainalysis من أن التحليل المدعوم بالذكاء الاصطناعي الذكيةtracوفك تجميع قد يجعل الهجمات على التعليمات البرمجية التي لم تخضع للتدقيق الكافي أسهل في التوسع.

بالنسبة للبنية التحتية Bitcoin ، فإن الدرس أوسع من مجرد أي خطأ واحد: يمكن للذكاء الاصطناعي تسريع اكتشاف الثغرات الأمنية، ولكن الهجمات الناجحة يمكن أن يكون لها عواقب تتجاوز بكثير مجرد اختراق التعليمات البرمجية، من استنزاف المحافظ وتعطيل المدفوعات إلى التحقيقات والتغييرات في كيفية تعامل الشركات مع بيانات العملاء.