Тяжелая неделя для ПО для биткоина стала еще тяжелее: на этот раз пострадали продавцы, принимающие платежи через Lightning Network. В ночь на пятницу злоумышленники начали атаковать ноды Lightning, работающие через BTCPay Server, воспользовавшись критической уязвимостью, из-за которой оказались раскрыты учетные данные, защищающие эти ноды.

Разработчики BTCPay Server подтвердили кражу средств и потребовали от всех пользователей LND — самого распространенного решения для управления нодами Lightning — немедленно обновить ПО до версии 2.4.2 или временно отключить серверы от сети. В проекте пока не раскрыли ни число пострадавших пользователей, ни объем похищенных биткоинов.

Суть уязвимости в том, что неаутентифицированный злоумышленник мог получить доступ к так называемым файлам .macaroon — учетным данным, дающим программному обеспечению право взаимодействовать с нодой Lightning на базе LND. По данным BTCPay, зафиксированные атаки были направлены именно на эти файлы: получив их, злоумышленники могли захватить контроль над нодой и вывести средства из ее каналов. При этом стандартные ончейн-кошельки BTCPay, включая горячие кошельки, создаваемые внутри самой платформы, атака не затронула: уязвимость касается только развертываний с использованием LND. Однако средства, хранящиеся в собственном ончейн-кошельке LND, все же остаются под угрозой, поскольку этот кошелек входит в состав скомпрометированной ноды.

Среди пострадавших — производитель аппаратных кошельков Foundation. Генеральный директор компании Зак Герберт сообщил, что атакующие за ночь опустошили Lightning-ноду компании, закрыв ее каналы и выведя средства, тогда как горячий ончейн-кошелек BTCPay остался нетронутым. О взломе своей Lightning-ноды также сообщила редакция биткоин-издания Citadel21, которое ведет псевдонимный комментатор hodlonaut. При этом на ноде хранилась незначительная сумма.

Об уязвимости ранее сообщили команде BTCPay Server участники Bitcoin Red Team — группы разработчиков, которая на этой неделе начала применять ИИ-модели для анализа кодовых баз биткоин-проектов и с тех пор сообщила уже о тысячах находок в сотнях проектов. По заявлению группы, они публикуют находки быстро, потому что аналогичные баги рано или поздно обнаружат и другие. Судя по всему, к моменту, когда в BTCPay Server опубликовали предупреждение, злоумышленники уже вовсю эксплуатировали эту уязвимость на действующих серверах. В BTCPay Server поблагодарили участников Red Team — Крейга Роу, Роба Гамильтона, Калле и Эвана Калоудиса — за ответственное раскрытие информации и помощь в анализе проблемы.

В BTCPay пока не публикуют технические подробности уязвимости, объясняя это тем, что операторам нужно время на установку патча. Полный отчет о произошедшем должен появиться в ближайшие дни.

Это уже не первый подобный инцидент за неделю: ранее разработчики биткоина сообщили о 85 критических багах, найденных в разных проектах экосистемы, и назвали ситуацию «крайне тяжелой».