" BTCPay Server, бесплатный инструмент с открытым исходным кодом для приема платежей в биткоине, в воскресенье призвал пользователей отключить серверы.
Предупреждение появилось после сообщений о том, что злоумышленники опустошают «горячие кошельки» на некоторых серверах.
Программное обеспечение с открытым исходным кодом BTCPay Server позволяет любому развернуть и запустить систему на собственных серверах - компьютерах, которые обеспечивают круглосуточную работу софта.
Поскольку посредников и сторонних кастодианов нет, бизнес получает платежи в биткоине напрямую в собственные кошельки, а BTCPay позволяет использовать их как горячие - постоянно подключенные к интернету.
Однако удобство транзакций несет два риска.
Первый - горячий кошелек. Каждый из них живет на сервере самого продавца. «Горячим» его делает то, что сид-фраза - секрет, необходимый для отправки монет, - хранится на этом сервере, подключенном к интернету. Такой кошелек также может принимать платежи без сид-фразы.
Документация BTCPay говорит, что BTCPay Server затем «автоматически использует сид, хранящийся на сервере, для подписи» и одобрения платежа.
То есть сервер продавца может отправлять монеты самостоятельно, без подтверждения продавца на отдельном устройстве. Это удобно, но любой, кто взломает сервер, сможет отправить монеты на свой адрес. Документация помечает эту функцию меткой «ОПАСНО» и предупреждает о «последствиях для безопасности».
Второй риск - децентрализация. Каждый продавец размещает программное обеспечение на собственном частном сервере. Поэтому нет главного рубильника, который можно переключить при проблеме. Каждый владелец бизнеса самостоятельно отвечает за безопасность своей инфраструктуры. Именно поэтому BTCPay пришлось просить каждого владельца сервера остановить его. Сам проект не может сделать это за них.
«Мы получаем сообщения о том, что горячие кошельки на серверах BTCPay опустошаются несанкционированными атакующими. Если вы запускаете инстанс, отключите его (./btcpay-down.sh), пока мы не завершим расследование», - сообщил BTCPay в X.
«Опустошаются» означает, что монеты были выведены из кошелька одним разом. Команда ./btcpay-down.sh останавливает программное обеспечение. BTCPay попросил владельцев не включать его до завершения расследования.
BTCPay не указал сумму убытков и число затронутых серверов. Проект не назвал версии ПО, не объявил исправление, а призыв к отключению не был ограничен одной версией.
Примерно через два часа основатель BTCPay Николя Дорье дал больше информации. Он сказал, что сообщения о краже «касаются, судя по всему, версий BTCPay Server старше 2.4.2». Иными словами, серверов, которые не обновились до 2.4.2 или новее.
Он не сказал, безопасны ли новые версии. Он лишь отметил, что публичные серверы проекта, работающие на версии 2.4.7, «не подверглись атаке».
Дорье также сообщил, что на пострадавших серверах атакующий вошел как администратор - аккаунт с доступом высшего уровня. Как он получил этот доступ, команда пока не знает.
Это не первый тревожный случай в этом году.
В августе BTCPay подтвердила, что злоумышленники украли средства через уязвимость в версиях до 2.4.2. Она позволяла постороннему получить файлы учетных данных для LND - программного обеспечения, запускающего узел в Lightning, более быстрой платежной сети на базе биткоина. С этими файлами атакующий мог управлять узлом и выводить его средства. BTCPay исправила проблему в версии 2.4.2.
Последний случай с BTCPay следует за взломом Binance в четверг, в ходе которого злоумышленник вывел криптовалюты на сумму более $6 млрд. Это крупнейший эксплоит в истории криптоиндустрии.
