مؤسس BTCPay يربط عمليات سحب المحافظ الساخنة بتسجيلات دخول المشرف على خوادم أقدم من 2.4.2

أفاد نيكولا دورير، مؤسس BTCPay Server، بأن عمليات تفريغ المحافظ الساخنة المبلغ عنها يوم الأحد تبدو متعلقة بخوادم تعمل بإصدارات أقدم من 2.4.2.

قام المهاجم بتسجيل الدخول بصفتي مسؤول (admin) على تلك المثيلات، ولا يزال الفريق يحاول فهم كيفية حدوث ذلك.

تحديد مسار الهجوم مرتبط بإصدارات 2.4.1 أو الأقدم

أرسل BTCPay تنبيهاً في الساعة 5:25 مساءً بتوقيت شرق الولايات المتحدة يوم الأحد. ونصح أي شخص يشغل مثيلاً بإيقافه باستخدام ./btcpay-down.sh حتى انتهاء التحقيق.

نشر دورير بعد حوالي ساعتين. وقال إن خوادم BTCPay العامة التي تعمل بإصدار 2.4.7 لم تُهاجم.

لاحقاً صرّح دورير أن الفريق لديه آثار تشير إلى "استغلال ثغرات ما قبل الإصدار 2.4.2".

حدّد التحديث الذي أصدره BTCPay في الساعة 11:07 مساءً بتوقيت شرق الولايات المتحدة الهدف بدقة أكبر. ووجد التحقيق متجه هجوم يستهدف المثيلات التي تعمل على الإصدار 2.4.1 الصادر في 23 يوليو أو الإصدارات الأقدم.

لم ترد "تقارير موثوقة" عن سحب محافظ ساخنة من المستخدمين على الإصدار 2.4.7، الذي أُصدر في 29 أكتوبر. ونصح المشغلين بالاحتفاظ بالبرنامج محدّثاً وطلب من الضحايا إرسال التفاصيل والسجلات إلى فريق الأمن الخاص به.

قد تكون بعض مزودي الاستضافة قد أوقفت المثيلات تلقائياً لمنع استغلال الإصدارات القديمة. وشكر BTCPay LunaNode والآخرين على إجراءاتهم السريعة.

Operators who have updated at least once since 2.4.2 was released have “no reason to panic,” Dorier said. He also warned users not to keep too much in a hot wallet, promising a blog post with more detail.

وصلت عمليات السحب يوم الأحد إلى أموال اعتبرت آمنة وفقاً للإصدار التحذيري الصادر في أغسطس

نظراً لأن BTCPay مُستضاف ذاتياً، لا يمكن للمشروع تغيير خادم التاجر أو إيقافه. يعمل وضع المحفظة الساخنة الخاص به على توقيع المدفوعات باستخدام بذرة مخزنة على ذلك الخادم، مما يعني أن كل من يتحكم في ذلك الخادم يمكنه تحريك العملات.

يعود تاريخ سلسلة 2.4.2 إلى شهر أغسطس. أصدرت BTCPay الإصدار 2.4.2 في 7 أغسطس لسد ثغرة حرجة كانت قيد الاستغلال بالفعل، كما أفاد Cryptopolitan.

كان كل إصدار سابق، بما في ذلك المرشحات التجريبية لإصدار 2.4.2، يسمح لمهاجم غير مُصادَق عليه بسرقة بيانات اعتماد macaroon الخاصة بـ LND. وكان المهاجم قادراً على الاستيلاء على عقدة Lightning واستخدامها لنقل أموالها.

أبلغت المؤسسة وCitadel21 عن هجمات على عقد Lightning الخاصة بهما. وقال كراغ راو، مطوّر محفظة Sparrow، إنه تعرض للهجوم أيضاً.

مع إصدار 2.4.2، تم إعادة إنشاء ملفات macaroons الخاصة بـ LND تلقائياً. وعندما كان المشغلون يعرّضون LND عبر الوكيل الخاص بهم أو خدمة Tor أو المنفذ المُوجَّه، كانوا بحاجة إلى تغيير تلك البيانات يدوياً.

كما أصلح الإصدار 2.4.2 تجاوزاً منفصلاً للمصادقة الثنائية عبر TOTP باستخدام المصادقة الأساسية في واجهة Greenfield API، وهو ما أبلغ عنه في 4 أغسطس. وقالت BTCPay إن الخلل لا علاقة له باختراق macaroon.

أشارت الإشعار الخاص بـ BTCPay إلى أن محافظها على السلسلة، بما في ذلك المحافظ الساخنة، لم تتأثر بهذا العيب. وأشارت التقارير الصادرة يوم الأحد إلى أن المحافظ الساخنة كانت تُفرّغ.

لم يوضح ни BTCPay ولا دورير ما إذا كان المهاجم قد استغل ثغرة الماكروون (macaroon) الخاصة بشهر أغسطس أم ثغرة أخرى سابقة للإصدار 2.4.2. وفي أغسطس، قدم الداعمون مكافأة استرداد بنسبة 10% من الأموال المستردة، تصل إلى 3 BTC.

أفادت River بأن متوسط استخدام التجار لبيتكوين نما بنسبة 74% في عام 2025، مع تجاوز حجم شبكة لايتنينغ مليار دولار شهرياً.