BTCPay Server bestätigte, dass Angreifer eine kritische Schwachstelle ausnutzten, um Gelder von Nutzern zu stehlen, die eine Version vor 2.4.2 verwendeten, und forderte die Betreiber auf, sofort zu aktualisieren.
Der selbstgehostete Bitcoin-Zahlungsprozessor veröffentlichte die Version 2.4.2, um die Schwachstelle zu schließen. Das Problem ermöglichte es einem nicht authentifizierten Remote-Angreifer, .macaroon-Anmeldeinformationen für LND, eine gängige Implementierung des Lightning Networks, zu erhalten.
Was BTCPay Server-Nutzer tun müssen
Die gestohlenen Anmeldeinformationen könnten einem Angreifer die volle Kontrolle über einen LND-Knoten geben. Von dort aus könnte der Angreifer Gelder direkt aus dem Knoten bewegen.
„Wir haben bestätigt, dass Angreifer diese Schwachstelle ausgenutzt haben. Nutzer waren betroffen und Gelder wurden gestohlen. Wir veröffentlichen noch keine technischen Details, da die Betreiber noch Zeit zum Aktualisieren benötigen“, sagte das Team.
Folge uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten
Das Risiko betrifft speziell Bereitstellungen, die LND verwenden. Andere Lightning-Setups und Nicht-Lightning-Nutzer sind nicht von der Anmeldeinformationsaussetzung betroffen, obwohl das Projekt sie dennoch aufforderte, zu aktualisieren. Die eigenen On-Chain- und Hot-Wallets von BTCPay Server bleiben unberührt.
Betreiber, die LND verwenden, sollten über das Wartungs-Dashboard auf Version 2.4.2 und LND 0.21.1 aktualisieren. Das Update regeneriert Macaroons automatisch. Denjenigen, die nicht sofort patchen konnten, wurde geraten, ihre Server offline zu nehmen.
Das Projekt riet auch LND-Nutzern, die Knotenaktivität auf unbekannte Peers, unerwartete Kanalabschlüsse und Zahlungen, die sie nicht getätigt haben, zu überprüfen.
Ein zweiter Schlag gegen die Selbstverwahrung von Bitcoin
Die Offenlegung folgt einem weiteren großen Sicherheitsvorfall. Galaxy Research bestätigte am Freitag, dass bisher 1.719 Bitcoin (BTC) im Wert von etwa 111 Millionen Dollar von Coldcard-Nutzern gestohlen wurden. Das Unternehmen erwartet, dass die Gesamtschäden 130 Millionen Dollar übersteigen werden, sobald die ausstehenden Fälle überprüft sind.
Keiner der Vorfälle berührte das Bitcoin-Protokoll selbst. Beide offenbarten stattdessen Schwächen in den Werkzeugen, die darum herum gebaut wurden.
Abonnieren Sie unseren YouTube-Kanal, um zu sehen, wie Führungskräfte und Journalisten Experteneinblicke geben.
Quelle: BeInCrypto
