BTCPay Server actualiza urgentemente su procesamiento tras el robo de fondos

BTCPay Server se ha visto envuelto en un incidente de seguridad: los desarrolladores han confirmado la explotación de una vulnerabilidad crítica que permitió a los atacantes acceder a los datos de algunos usuarios y robar fondos.

El equipo del proyecto ha lanzado la versión 2.4.2 y ha cerrado la brecha. Todas las versiones anteriores con compilaciones de LND estaban en riesgo. Los desarrolladores han instado a los operadores a no retrasar la actualización, especialmente si su infraestructura utiliza Lightning Network.

La vulnerabilidad permitía a un atacante remoto acceder sin autorización a archivos con credenciales .macaroon para LND. Esta implementación de Lightning Network se utiliza a menudo en servicios que procesan pagos en Bitcoin y ayudan a escalar los pagos sobre la red principal.

¿Quién necesita actualizar BTCPay Server primero?

Las credenciales robadas otorgan al atacante control total sobre el nodo LND. Después de esto, puede retirar fondos directamente de dicho nodo, lo que ocurrió con algunos usuarios.

Hemos confirmado que los atacantes utilizaron esta vulnerabilidad. Algunos usuarios se vieron afectados y se robaron fondos. No revelaremos los detalles por ahora para que los operadores puedan instalar la actualización a tiempo, - declaró el equipo de BTCPay Server.

El riesgo solo afecta a las configuraciones con LND. BTCPay Server puede aceptar pagos en la red principal de Bitcoin y soporta Lightning Network, pero los usuarios sin Lightning, así como otras configuraciones de Lightning Network, según los desarrolladores, no han experimentado filtraciones. Sin embargo, el equipo aún aconseja a todos los operadores que actualicen. Las billeteras en línea oficiales y las billeteras calientes de BTCPay Server no se vieron afectadas.

Los operadores que utilizan LND deben actualizar a BTCPay Server 2.4.2 y LND 0.21.1 a través del panel de administración. Durante la actualización, los archivos macaroon se generan automáticamente de nuevo. Si no es posible instalar el parche rápidamente, los desarrolladores recomiendan desactivar temporalmente los servidores.

Para los operadores de LND, lo más importante ahora es actualizar rápidamente a BTCPay Server 2.4.2 y LND 0.21.1: las versiones antiguas ponen en riesgo las credenciales macaroon y los fondos en el nodo.

¿Qué deben tener en cuenta los usuarios de LND?

Después de instalar la actualización, los propietarios de nodos deben verificar el historial de actividad. Las conexiones desconocidas, los cierres inesperados de canales y los pagos que el usuario no envió son especialmente importantes.

¿Cómo funciona BTCPay Server?

BTCPay Server es un procesador de pagos de código abierto para aceptar pagos en Bitcoin. Conecta una tienda, un punto de venta o un enlace directo de pago con la billetera del operador: crea una factura, rastrea el pago en la red Bitcoin o a través de Lightning Network y transmite el estado del pago a la tienda a través de integraciones, complementos o API.

BTCPay Server es utilizado por:

• tiendas en línea;
• proyectos de comercio electrónico;
• servicios de crowdfunding;
• puntos de venta POS.

El servicio también se puede utilizar sin una tienda en línea, por ejemplo, para aceptar pagos directamente o a través de POS. Para instalar y utilizar BTCPay Server no se requiere KYC, y la configuración básica generalmente se reduce a descargar el código de GitHub, ejecutarlo en su propio servidor y conectar la billetera y la tienda.

Funciones clave de BTCPay Server:

• generación de facturas de pago;
• integración con tiendas;
• soporte de API;
• informes de pagos;
• aceptación de pagos a través de POS.

En esta infraestructura generalmente se involucran:

• API;
• complementos;
• billeteras de criptomonedas;
• módulos de contabilidad;
• código fuente de BTCPay Server en GitHub.

BTCPay Server se elige en lugar de procesadores centralizados cuando son importantes la descentralización, el control sobre los fondos, la ausencia de comisiones por procesamiento y el código abierto. La conversión automática de criptomonedas a fiat no está incluida en las funciones básicas, por lo que tales escenarios generalmente se construyen por separado.

El soporte y los materiales de capacitación se pueden encontrar en la documentación oficial de BTCPay Server, en GitHub, en foros y comunidades del proyecto.

Por lo tanto, el incidente es importante no solo para operadores individuales, sino también para equipos que construyen infraestructura de pagos en criptomonedas sobre soluciones de código abierto y despliegan sus propios servidores.

Los desarrolladores también enfatizaron que el problema no está relacionado con la unidad central de procesamiento y no afecta al propio protocolo de Bitcoin. Se trata de una vulnerabilidad en las herramientas construidas alrededor de la infraestructura de pagos.

Otro golpe a la seguridad de las herramientas de Bitcoin

El informe sobre el problema en BTCPay Server coincidió con otro gran incidente. En Galaxy Research confirmaron que se robaron 1719 Bitcoin a usuarios de Coldcard, lo que se estimó en aproximadamente $111 millones. Según los analistas, después de revisar todos los episodios de ataques, el daño total podría superar los $130 millones.

Ambos casos no afectaron al protocolo base de Bitcoin. Las vulnerabilidades se encontraron en servicios y dispositivos que operan sobre él. Esto demuestra una vez más que la seguridad de la infraestructura cripto depende no solo de la blockchain, sino también de la calidad de las billeteras, nodos, módulos de pago y software de servidor.