Btcpay Server cập nhật khẩn cấp sau vụ đánh cắp tài sản

BTCPay Server đã trở thành tâm điểm của một sự cố an ninh: các nhà phát triển xác nhận việc khai thác một lỗ hổng nghiêm trọng, cho phép kẻ xấu truy cập vào dữ liệu của một số người dùng và đánh cắp tài sản.

Nhóm dự án đã phát hành phiên bản 2.4.2 và khắc phục lỗ hổng. Tất cả các phiên bản trước đó với các bản dựng LND đều bị đe dọa. Các nhà phát triển kêu gọi các nhà điều hành không trì hoãn việc cập nhật, đặc biệt nếu cơ sở hạ tầng của họ sử dụng Lightning Network.

Lỗ hổng cho phép kẻ tấn công từ xa không cần xác thực có thể lấy được các tệp chứa thông tin đăng nhập .macaroon cho LND. Triển khai này của Lightning Network thường được áp dụng trong các dịch vụ xử lý thanh toán Bitcoin và giúp mở rộng các giao dịch trên mạng chính.

Ai cần cập nhật BTCPay Server trước tiên

Thông tin đăng nhập bị đánh cắp cho phép kẻ tấn công kiểm soát hoàn toàn nút LND. Sau đó, họ có thể trực tiếp rút tiền từ nút đó, điều này đã xảy ra với một số người dùng.

Chúng tôi xác nhận rằng kẻ xấu đã sử dụng lỗ hổng này. Một số người dùng đã bị thiệt hại, tài sản đã bị đánh cắp. Chúng tôi chưa tiết lộ chi tiết để các nhà điều hành có thời gian cài đặt bản cập nhật, " nhóm BTCPay Server cho biết.

Rủi ro chỉ liên quan đến các cấu hình với LND. BTCPay Server có thể nhận thanh toán trên mạng chính của Bitcoin và hỗ trợ Lightning Network, nhưng người dùng không có Lightning, cũng như các tùy chọn cấu hình khác của Lightning Network, theo thông tin từ các nhà phát triển, không gặp phải rò rỉ. Tuy nhiên, nhóm vẫn khuyên tất cả các nhà điều hành nên cập nhật. Các ví on-chain chính thức và ví nóng của BTCPay Server không bị ảnh hưởng.

Các nhà điều hành sử dụng LND cần chuyển sang BTCPay Server 2.4.2 và LND 0.21.1 thông qua bảng điều khiển quản trị. Trong quá trình cập nhật, các tệp macaroon sẽ được tạo lại tự động. Nếu không thể nhanh chóng cài đặt bản vá, các nhà phát triển khuyên tạm thời tắt các máy chủ.

Đối với các nhà điều hành LND, điều quan trọng bây giờ là nhanh chóng chuyển sang BTCPay Server 2.4.2 và LND 0.21.1: các bản dựng cũ để lại thông tin đăng nhập macaroon và tài sản trên nút trong tình trạng nguy hiểm.

Những điều cần chú ý đối với người dùng LND

Sau khi cài đặt bản cập nhật, các chủ nút nên kiểm tra lịch sử hoạt động. Đặc biệt quan trọng là các kết nối lạ, các kênh đóng bất ngờ và các khoản thanh toán mà người dùng không tự gửi.

BTCPay Server hoạt động như thế nào

BTCPay Server là một bộ xử lý thanh toán mã nguồn mở để nhận thanh toán Bitcoin. Nó kết nối cửa hàng, điểm bán hàng POS hoặc liên kết thanh toán trực tiếp với ví của nhà điều hành: tạo hóa đơn, theo dõi thanh toán trên mạng Bitcoin hoặc qua Lightning Network và truyền trạng thái thanh toán về cửa hàng thông qua các tích hợp, plugin hoặc API.

BTCPay Server được sử dụng bởi:

• cửa hàng trực tuyến;
• dự án thương mại điện tử;
• dịch vụ crowdfunding;
• điểm bán hàng POS.

Dịch vụ cũng có thể được sử dụng mà không cần cửa hàng trực tuyến - ví dụ, nhận thanh toán trực tiếp hoặc qua POS. Để cài đặt và sử dụng BTCPay Server không yêu cầu KYC, và cấu hình cơ bản thường chỉ cần tải mã từ GitHub, chạy trên máy chủ riêng và kết nối ví và cửa hàng.

Các tính năng chính của BTCPay Server:

• tạo hóa đơn thanh toán;
• tích hợp với các cửa hàng;
• hỗ trợ API;
• báo cáo thanh toán;
• nhận thanh toán qua POS.

Trong cơ sở hạ tầng này thường sử dụng:

• API;
• plugin;
• ví tiền điện tử;
• mô-đun kế toán;
• mã nguồn BTCPay Server trên GitHub.

BTCPay Server được chọn thay vì các bộ xử lý tập trung khi sự phân quyền, kiểm soát tài sản, không có phí xử lý và mã nguồn mở là quan trọng. Việc tự động chuyển đổi tiền điện tử sang fiat không nằm trong các chức năng cơ bản, vì vậy các kịch bản như vậy thường được xây dựng riêng.

Hỗ trợ và tài liệu hướng dẫn có thể được tìm thấy trong tài liệu chính thức của BTCPay Server, trên GitHub, trong các diễn đàn và cộng đồng của dự án.

Do đó, sự cố này quan trọng không chỉ đối với các nhà điều hành riêng lẻ mà còn đối với các nhóm xây dựng cơ sở hạ tầng thanh toán tiền điện tử trên các giải pháp mã nguồn mở và triển khai máy chủ riêng của họ.

Các nhà phát triển cũng nhấn mạnh: vấn đề này không liên quan đến Central processing unit và không ảnh hưởng đến chính giao thức Bitcoin. Đây là một lỗ hổng trong các công cụ được xây dựng xung quanh cơ sở hạ tầng thanh toán.

Một cú đánh khác vào an ninh của các công cụ Bitcoin

Thông báo về vấn đề trong BTCPay Server trùng hợp với một sự cố lớn khác. Tại Galaxy Research xác nhận rằng 1719 Bitcoin đã bị đánh cắp từ người dùng Coldcard, ước tính khoảng 111 triệu USD. Theo ước tính của các nhà phân tích, sau khi kiểm tra tất cả các vụ tấn công, tổng thiệt hại có thể vượt quá 130 triệu USD.

Cả hai trường hợp đều không ảnh hưởng đến giao thức cơ bản của Bitcoin. Các lỗ hổng được tìm thấy trong các dịch vụ và thiết bị hoạt động trên đó. Điều này một lần nữa cho thấy rằng an ninh của cơ sở hạ tầng tiền điện tử không chỉ phụ thuộc vào blockchain mà còn vào chất lượng của ví, nút, mô-đun thanh toán và phần mềm máy chủ.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.