BTCPay Server roept operators op hun instanties uit te schakelen na meldingen van ongeautoriseerde hot-wallet-leegroving
BTCPay Server, de open-source bitcoinbetalingssoftware, heeft operators opgeroepen hun instanties uit te schakelen na meldingen van ongeautoriseerde hot-wallet-leegroving. De oprichter van het project zegt dat de getroffen releases ouder lijken te zijn dan 2.4.2, terwijl het project nu wijst naar 2.4.1 en eerder.
Geschreven door de AI-redactie van CoinArticle · op basis van 3 geciteerde bronnen. Hoe we werken
Wat BTCPay operators heeft gevraagd
BTCPay Server, de open-source bitcoinbetalingssoftware, heeft operators zondag gevraagd hun instanties uit te schakelen terwijl het onderzoek loopt naar meldingen dat ongeautoriseerde aanvallers hot wallets leegroven die eraan zijn gekoppeld. In een bericht op X om 17.25 uur ET vroeg het project gebruikers die een instantie draaien om deze te stoppen met ./btcpay-down.sh totdat het onderzoek is afgerond. Decrypt en CoinDesk berichtten beiden over het verzoek.
Volgens het project hebben sommige hostingproviders, waaronder LunaNode, BTCPay-instanties automatisch uitgeschakeld om misbruik van oudere versies te beperken. Het project heeft niet gezegd hoeveel servers zijn getroffen of hoeveel bitcoin is weggenomen.
Getroffen versies en de aanvalsvector
De reikwijdte is smaller dan de eerste waarschuwing deed vermoeden. Ongeveer twee uur na het eerste bericht zei oprichter Nicolas Dorier dat de meldingen lijken te gaan over releases ouder dan 2.4.2 en dat de aanvaller met beheerdersrechten was ingelogd op getroffen servers. Later op zondag zei het project dat het onderzoek een aanvalsvector had geïdentificeerd die instanties met versie 2.4.1, uitgebracht op 23 juli, of ouder aanvalt.
Het project zei geen geloofwaardige meldingen te hebben van hot-wallet-leegrovingen op de nieuwste release 2.4.7. Het vroeg getroffen gebruikers details en logs naar het beveiligingsteam te sturen. Het cijfer 2.4.2 van de oprichter en de grens 2.4.1-en-ouder van het project zijn beide toegeschreven verklaringen, en het project heeft nog geen formeel advies gepubliceerd dat beide met elkaar in overeenstemming brengt.
Hot wallets en de recente releasegeschiedenis
Omdat BTCPay self-hosted is, draait elke handelaar de software op zijn eigen server, zodat er geen centrale operator is die instanties kan uitschakelen. Handelaars kunnen een hot wallet draaien, waarbij de wallet-seed op een met internet verbonden server wordt bewaard zodat transacties automatisch kunnen worden ondertekend. De documentatie van BTCPay labelt deze functie als "DANGER" en waarschuwt dat ze "beveiligingsimplicaties met zich meebrengt."
Het project bracht donderdag versie 2.4.7 uit als noodupdate die één kritieke en meerdere kwetsbaarheden met gemiddelde ernst verhelpt, die volgens het project zijn geïdentificeerd met de frontier open-source softwarescanner van Anthropic. BTCPay heeft niet gezegd of de aanvallen gebruik maakten van een van die fouten. In augustus waarschuwde het project dat een kritieke kwetsbaarheid die alle versies vóór 2.4.2 treft actief werd misbruikt. Supporters financierden later een herstelbelooning van 10% van gestolen fondsen die worden teruggegeven, met een maximum van 3 BTC.
Verliezen en open vragen
Er is nog geen verliescijfer gepubliceerd, en het project heeft niet gezegd hoeveel wallets of hoeveel bitcoin mogelijk betrokken zijn. Het heeft geen formele post-mortem aangekondigd. Totdat die is gepubliceerd, blijven de totale omvang van het incident en de exacte versiegrens onopgelost.
Waarom het ertoe doet
Voor handelaren
Handelaren en diensten die bitcoin accepteren via BTCPay kunnen met betalingsverstoringen te maken krijgen, maar het ontbreken van een verliescijfer maakt de impact op de markt moeilijk in te schatten.
Voor beleggers
Herhaalde beveiligingsincidenten in veelgebruikte open-source betalingsinfrastructuur kunnen het vertrouwen in self-hosted bitcoinbetalingssystemen drukken, ook wanneer de schade beperkt blijft.
Voor bouwers
Operators moeten hun geïnstalleerde versie controleren tegen zowel de grens 2.4.1-en-ouder als de verwijzing naar 2.4.2 van de oprichter, upgraden naar 2.4.7, en hun hot-wallet-sleutels controleren totdat een officieel advies is gepubliceerd.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
