Il fondatore di BTCPay collega i prelievi da hot wallet ai login admin su server precedenti alla 2.4.2
- Nicolas Dorier, fondatore di BTCPay Server, ha affermato domenica che gli svuotamenti dei wallet caldi sembrano coinvolgere server in esecuzione con versioni precedenti alla 2.4.2.
- L'attaccante si è registrato come amministratore su quelle istanze e il team non sa ancora come sia riuscito a farlo.
- BTCPay ha individuato un vettore di attacco rivolto alle versioni 2.4.1 o precedenti e non ha ricevuto segnalazioni credibili di svuotamenti sulla 2.4.7.
Gli svuotamenti dei wallet caldi riportati domenica sembrano coinvolgere server in esecuzione con versioni precedenti alla 2.4.2, ha dichiarato Nicolas Dorier, fondatore di BTCPay Server.
L'attaccante si è registrato come amministratore su quelle istanze e il team sta ancora cercando di capire come sia avvenuto.
L'indagine individua nel vettore di attacco le rilasci della versione 2.4.1 o precedenti
BTCPay ha inviato un avviso alle 17:25 ET di domenica. Ha consigliato a chiunque esegua un'istanza di spegnerla con ./btcpay-down.sh fino al termine delle indagini.
Dorier ha pubblicato un post circa 2 ore dopo. I server pubblici di BTCPay, in versione 2.4.7, non sono stati attaccati, ha dichiarato.
Dorier in seguito ha dichiarato che il team aveva tracce del fatto che "le vulnerabilità precedenti alla versione 2.4.2 sono state sfruttate".
L'aggiornamento di BTCPay alle 23:07 ET ha ristretto l'obiettivo. Le indagini hanno individuato un vettore di attacco che prende di mira le istanze in esecuzione sulla versione 2.4.1 rilasciata il 23 luglio o su versioni precedenti.
Il progetto non ha ricevuto "segnalazioni credibili di svuotamento dei portafogli caldi" da parte degli utenti della versione 2.4.7, rilasciata il 29 ottobre. Ha consigliato agli operatori di mantenere il software aggiornato e ha chiesto alle vittime di inviare dettagli e log al team di sicurezza.
Alcuni provider di hosting potrebbero aver spento automaticamente le istanze per impedire lo sfruttamento delle versioni più vecchie. BTCPay ha ringraziato LunaNode e altri per la loro azione tempestiva.
Operators who have updated at least once since 2.4.2 was released have “no reason to panic,” Dorier said. He also warned users not to keep too much in a hot wallet, promising a blog post with more detail.
Gli svuotamenti di domenica hanno interessato fondi che l'avviso di agosto aveva considerato sicuri
Poiché BTCPay è auto-ospitato, il progetto non può modificare il server di un merchant né spegnerlo. La sua modalità hot-wallet firma i pagamenti utilizzando un seed memorizzato su quel server, il che significa che chiunque controlli quel server può spostare le monete.
La linea 2.4.2 risale ad agosto. BTCPay ha rilasciato la versione 2.4.2 il 7 agosto per correggere una vulnerabilità critica che era già sotto attacco, Cryptopolitan ha riportato.
Ogni versione precedente, incluse le release candidate 2.4.2, consentiva a un attaccante non autenticato di rubare le credenziali macaroon di LND. Un attaccante poteva assumere il controllo di un nodo Lightning e utilizzarlo per spostarne i fondi.
La Foundation e Citadel21 hanno segnalato attacchi ai loro nodi Lightning. Craig Raw, sviluppatore di Sparrow Wallet, ha affermato di essere stato colpito a sua volta.
Con la release 2.4.2, i macaroon di LND venivano rigenerati automaticamente. Quando gli operatori esponevano LND tramite il proprio proxy, servizio Tor o porta inoltrata, dovevano modificare manualmente tali credenziali.
La versione 2.4.2 correggeva anche un bypass separato dell'autenticazione a due fattori TOTP tramite l'Autenticazione Base dell'API Greenfield, segnalato il 4 agosto. BTCPay ha precisato che il bug non era correlato all'hack dei macaroon.
L'avviso di BTCPay ha dichiarato che i propri wallet on-chain, inclusi i wallet caldi, non erano stati colpiti da tale difetto. Le notizie di domenica riferivano che i wallet caldi venivano svuotati.
Né BTCPay né Dorier hanno specificato se l'attaccante abbia sfruttato il bug del macaroon di agosto o un'altra vulnerabilità pre-2.4.2. Ad agosto, i sostenitori avevano offerto una ricompensa pari al 10% dei fondi restituiti, fino a 3 BTC.
River ha riferito che l'utilizzo medio dei commercianti di Bitcoin è cresciuto del 74% nel 2025, con un volume su Lightning che ha superato 1 miliardo di dollari al mese.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Cosa ha chiesto BTCPay Server agli operatori di fare?
Spegnere le proprie istanze con `./btcpay-down.sh` fino alla fine delle indagini.
I portafogli caldi sono stati interessati dal precedente incidente di agosto?
No. BTCPay ha dichiarato che i suoi portafogli on-chain, inclusi quelli caldi, non sono stati colpiti dalla vulnerabilità di agosto.
Quali versioni di BTCPay erano vulnerabili al bug di agosto?
Tutte le release precedenti alla 2.4.2, incluse le release candidate, esponevano le credenziali macaroon di LND.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
