Atualização urgente do processamento do BTCPay Server após roubo de fundos

O processamento do BTCPay Server esteve no centro de um incidente de segurança: os desenvolvedores confirmaram a exploração de uma vulnerabilidade crítica, que permitiu que atacantes tivessem acesso aos dados de alguns usuários e conseguissem roubar fundos.

A equipe do projeto lançou a versão 2.4.2 e corrigiu a falha. Todas as versões anteriores com compilações LND estavam em risco. Os desenvolvedores pediram aos operadores que não adiassem a atualização, especialmente se a infraestrutura deles utiliza a Lightning Network.

A vulnerabilidade permitia que um atacante remoto, sem autorização, obtivesse arquivos com credenciais .macaroon para LND. Esta implementação da Lightning Network é frequentemente utilizada em serviços que processam pagamentos em Bitcoin e ajudam a escalar as transações na rede principal.

Quem precisa atualizar o BTCPay Server primeiro

As credenciais roubadas dão ao atacante controle total sobre o nó LND. Depois disso, ele pode retirar fundos diretamente desse nó, o que aconteceu com alguns usuários.

Confirmamos que os atacantes exploraram essa vulnerabilidade. Alguns usuários foram afetados, e os fundos foram roubados. Os detalhes ainda não foram divulgados para que os operadores tenham tempo de instalar a atualização, - declarou a equipe do BTCPay Server.

O risco diz respeito apenas às configurações com LND. O BTCPay Server pode aceitar pagamentos na rede principal do Bitcoin e suporta a Lightning Network, mas usuários sem Lightning, assim como outras opções de configuração da Lightning Network, segundo os desenvolvedores, não enfrentaram vazamentos. No entanto, a equipe ainda recomenda que todos os operadores atualizem. As carteiras on-chain oficiais e as carteiras quentes do BTCPay Server não foram afetadas.

Os operadores que utilizam LND precisam migrar para o BTCPay Server 2.4.2 e LND 0.21.1 através do painel administrativo. Durante a atualização, os arquivos macaroon são gerados automaticamente novamente. Se não for possível instalar o patch rapidamente, os desenvolvedores recomendam desligar temporariamente os servidores.

Para os operadores LND, o principal agora é migrar rapidamente para o BTCPay Server 2.4.2 e LND 0.21.1: compilações antigas deixam as credenciais macaroon e os fundos no nó em risco.

O que os usuários LND devem observar

Após a instalação da atualização, os proprietários dos nós devem verificar o histórico de atividades. Conexões desconhecidas, fechamentos inesperados de canais e pagamentos que o usuário não enviou são especialmente importantes.

Como funciona o BTCPay Server

O BTCPay Server é um processador de pagamentos de código aberto para aceitar pagamentos em Bitcoin. Ele conecta a loja, o ponto de venda (POS) ou um link direto de pagamento à carteira do operador: cria uma fatura, rastreia o pagamento na rede Bitcoin ou através da Lightning Network e transmite o status do pagamento para a loja através de integrações, plugins ou API.

O BTCPay Server é utilizado por:

• lojas online;
• projetos de comércio eletrônico;
• serviços de crowdfunding;
• pontos de venda (POS).

O serviço também pode ser utilizado sem uma loja online - por exemplo, aceitando pagamentos diretamente ou através de POS. Para instalar e usar o BTCPay Server, não é necessário KYC, e a configuração básica geralmente se resume ao download do código do GitHub, execução em um servidor próprio e conexão da carteira e da loja.

Principais funções do BTCPay Server:

• geração de faturas;
• integração com lojas;
• suporte a API;
• relatórios de pagamentos;
• aceitação de pagamentos via POS.

Nesta infraestrutura, geralmente são utilizados:

• API;
• plugins;
• carteiras de criptomoedas;
• módulos de contabilidade;
• código-fonte do BTCPay Server no GitHub.

O BTCPay Server é escolhido em vez de processadores centralizados quando a descentralização, o controle sobre os fundos, a ausência de taxas de processamento e o código aberto são importantes. A conversão automática de criptomoedas para fiat não faz parte das funções básicas, portanto, esses cenários geralmente são configurados separadamente.

Suporte e materiais de treinamento podem ser encontrados na documentação oficial do BTCPay Server, no GitHub, em fóruns e comunidades do projeto.

Portanto, o incidente é importante não apenas para operadores individuais, mas também para equipes que constroem infraestrutura de pagamentos em criptomoedas com soluções de código aberto e implantam seus próprios servidores.

Os desenvolvedores também enfatizaram: o problema não está relacionado à unidade central de processamento e não afeta o próprio protocolo Bitcoin. Trata-se de uma vulnerabilidade nas ferramentas construídas em torno da infraestrutura de pagamentos.

Outro golpe na segurança das ferramentas Bitcoin

A notícia sobre o problema no BTCPay Server coincidiu com outro grande incidente. A Galaxy Research confirmou que 1719 Bitcoins foram roubados de usuários do Coldcard, avaliados em cerca de $111 milhões. Segundo os analistas, após a verificação de todos os episódios de ataque, o prejuízo total pode ultrapassar $130 milhões.

Ambos os casos não afetaram o protocolo básico do Bitcoin. As vulnerabilidades foram encontradas em serviços e dispositivos que operam sobre ele. Isso mais uma vez demonstra que a segurança da infraestrutura cripto depende não apenas da blockchain, mas também da qualidade das carteiras, nós, módulos de pagamento e software de servidor.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.