به‌روزرسانی فوری پردازشگر BTCPay Server پس از سرقت وجوه

پردازشگر BTCPay Server در مرکز یک حادثه امنیتی قرار گرفت: توسعه‌دهندگان تأیید کردند که یک آسیب‌پذیری بحرانی مورد سوءاستفاده قرار گرفته است که به مهاجمان اجازه دسترسی به داده‌های بخشی از کاربران و سرقت وجوه را داده است.

تیم پروژه نسخه 2.4.2 را منتشر کرده و این آسیب‌پذیری را برطرف کرده است. تمام نسخه‌های قبلی با ساخت‌های LND در معرض خطر بودند. توسعه‌دهندگان از اپراتورها خواسته‌اند که به‌روزرسانی را به تعویق نیندازند، به‌ویژه اگر زیرساخت آن‌ها از شبکه Lightning استفاده می‌کند.

این آسیب‌پذیری به یک مهاجم از راه دور اجازه می‌داد بدون مجوز به فایل‌های حاوی اطلاعات اعتبارنامه .macaroon برای LND دسترسی پیدا کند. این پیاده‌سازی شبکه Lightning معمولاً در خدماتی که پرداخت‌های بیت‌کوینی را پردازش می‌کنند و به مقیاس‌پذیری محاسبات در بالای شبکه اصلی کمک می‌کنند، استفاده می‌شود.

چه کسانی باید ابتدا BTCPay Server را به‌روزرسانی کنند

اعتبارنامه‌های سرقت‌شده به مهاجم کنترل کامل بر گره LND را می‌دهد. پس از آن، او می‌تواند به‌طور مستقیم وجوه را از چنین گره‌ای برداشت کند، که این اتفاق برای بخشی از کاربران رخ داده است.

ما تأیید کرده‌ایم که مهاجمان از این آسیب‌پذیری سوءاستفاده کرده‌اند. برخی کاربران آسیب دیده‌اند و وجوه سرقت شده است. جزئیات را فعلاً فاش نمی‌کنیم تا اپراتورها بتوانند به‌روزرسانی را نصب کنند، --- تیم BTCPay Server اعلام کرد.

این خطر فقط شامل پیکربندی‌های با LND می‌شود. BTCPay Server می‌تواند پرداخت‌ها را در شبکه اصلی بیت‌کوین بپذیرد و از شبکه Lightning پشتیبانی می‌کند، اما کاربران بدون Lightning و همچنین سایر گزینه‌های پیکربندی شبکه Lightning، به گفته توسعه‌دهندگان، با نشت اطلاعات مواجه نشده‌اند. با این حال، تیم همچنان به همه اپراتورها توصیه می‌کند که به‌روزرسانی کنند. کیف‌پول‌های رسمی آنچین و کیف‌پول‌های داغ BTCPay Server تحت تأثیر قرار نگرفته‌اند.

اپراتورهایی که از LND استفاده می‌کنند باید به BTCPay Server 2.4.2 و LND 0.21.1 از طریق پنل مدیریت منتقل شوند. در حین به‌روزرسانی، فایل‌های macaroon به‌طور خودکار دوباره ایجاد می‌شوند. اگر نصب سریع پچ ممکن نیست، توسعه‌دهندگان توصیه می‌کنند که سرورها را به‌طور موقت خاموش کنند.

برای اپراتورهای LND، اکنون مهم‌ترین چیز این است که به‌سرعت به BTCPay Server 2.4.2 و LND 0.21.1 منتقل شوند: ساخت‌های قدیمی اعتبارنامه‌های macaroon و وجوه در گره را در معرض خطر قرار می‌دهند.

به چه نکاتی باید کاربران LND توجه کنند

پس از نصب به‌روزرسانی، مالکان گره‌ها باید تاریخچه فعالیت را بررسی کنند. اتصالات ناشناخته، بسته شدن غیرمنتظره کانال‌ها و پرداخت‌هایی که کاربر خود ارسال نکرده است، به‌ویژه مهم هستند.

BTCPay Server چگونه کار می‌کند

BTCPay Server یک پردازشگر پرداخت با کد منبع باز برای پذیرش پرداخت‌های بیت‌کوین است. این سیستم فروشگاه، نقطه فروش یا لینک مستقیم پرداخت را به کیف‌پول اپراتور متصل می‌کند: فاکتور ایجاد می‌کند، پرداخت را در شبکه بیت‌کوین یا از طریق شبکه Lightning پیگیری می‌کند و وضعیت پرداخت را از طریق ادغام‌ها، پلاگین‌ها یا API به فروشگاه منتقل می‌کند.

BTCPay Server توسط:

• فروشگاه‌های اینترنتی؛
• پروژه‌های تجارت الکترونیک؛
• خدمات جمع‌سپاری؛
• نقاط فروش POS.

این سرویس را می‌توان بدون فروشگاه آنلاین نیز استفاده کرد --- به‌عنوان مثال، پرداخت‌ها را به‌طور مستقیم یا از طریق POS پذیرفت. برای نصب و استفاده از BTCPay Server نیازی به KYC نیست و پیکربندی اولیه معمولاً به بارگذاری کد از GitHub، راه‌اندازی بر روی سرور خود و اتصال کیف‌پول و فروشگاه محدود می‌شود.

ویژگی‌های کلیدی BTCPay Server:

• ایجاد فاکتورها برای پرداخت؛
• ادغام با فروشگاه‌ها؛
• پشتیبانی از API؛
• گزارش‌های پرداخت؛
• پذیرش پرداخت‌ها از طریق POS.

در این زیرساخت معمولاً از:

• API؛
• پلاگین‌ها؛
• کیف‌پول‌های رمزنگاری؛
• ماژول‌های حسابداری؛
• کد منبع BTCPay Server در GitHub استفاده می‌شود.

BTCPay Server به‌جای پردازشگرهای متمرکز انتخاب می‌شود، زمانی که تمرکززدایی، کنترل بر وجوه، عدم کارمزد برای پردازش و کد منبع باز اهمیت دارد. تبدیل خودکار ارزهای دیجیتال به فیات در ویژگی‌های پایه گنجانده نشده است، بنابراین چنین سناریوهایی معمولاً به‌طور جداگانه طراحی می‌شوند.

پشتیبانی و مواد آموزشی را می‌توان در مستندات رسمی BTCPay Server، در GitHub، در فروم‌ها و جوامع پروژه جستجو کرد.

بنابراین این حادثه نه تنها برای اپراتورهای خاص، بلکه برای تیم‌هایی که زیرساخت پرداخت‌های رمزنگاری را بر اساس راه‌حل‌های منبع باز می‌سازند و سرورهای خود را راه‌اندازی می‌کنند، اهمیت دارد.

توسعه‌دهندگان به‌طور جداگانه تأکید کردند: این مشکل به واحد پردازش مرکزی مربوط نمی‌شود و به خود پروتکل بیت‌کوین آسیب نمی‌زند. این موضوع مربوط به آسیب‌پذیری در ابزارهایی است که در اطراف زیرساخت پرداخت ساخته شده‌اند.

ضربه دیگری به امنیت ابزارهای بیت‌کوین

گزارش مشکل در BTCPay Server با یک حادثه بزرگ دیگر همزمان شد. در Galaxy Research تأیید کردند که 1719 بیت‌کوین از کاربران Coldcard سرقت شده است که ارزش آن تقریباً 111 میلیون دلار تخمین زده می‌شود. به‌گفته تحلیلگران، پس از بررسی تمام موارد حمله، خسارت کلی ممکن است از 130 میلیون دلار فراتر رود.

هر دو مورد به پروتکل پایه بیت‌کوین آسیب نرسانده‌اند. آسیب‌پذیری‌ها در خدمات و دستگاه‌هایی که بر روی آن کار می‌کنند، شناسایی شده است. این دوباره نشان می‌دهد که امنیت زیرساخت‌های رمزنگاری تنها به بلاک‌چین بستگی ندارد، بلکه به کیفیت کیف‌پول‌ها، گره‌ها، ماژول‌های پرداخت و نرم‌افزار سرور نیز بستگی دارد.