BTCPay Server omejuje oddaljeni dostop do Lightninga po izkoriščanju ranljivosti poverilnic

BTCPay Server je začasno omejil javne oddaljene povezave z vozlišči omrežja Lightning, ki uporabljajo programsko opremo Lightning Network Daemon (LND). To dejanje sledi izkoriščanju ranljivosti, kjer so napadalci izkoristili kritično ranljivost za pridobitev poverilnic in prenos sredstev.

Omejitev vpliva na zunanje denarnice, kot je Zeus, in jim preprečuje povezavo prek domene BTCPay Server ali naslova Tor onion na Docker implementacijah. BTCPay je navedel, da plačila Lightning ostajajo operativna in da bo možnost oddaljenega dostopa ponovno vzpostavljena, ko bo zagotovljena varnost.

Različica 2.4.2 BTCPay Serverja vključuje LND različico 0.21.1 in samodejno ponovno generira poverilnice macaroon v standardnih namestitvah BTCPay. Projekt je priporočil, da operaterji preverijo svoje sisteme za nepooblaščena plačila, nepričakovana zaprtja kanalov, neprepoznane sovrstnike in nedoslednosti v njihovih on-chain ali Lightning bilancah.

BTCPay je izjavil, da je ranljivost omogočila neoverjenemu oddaljenemu napadalcu pridobitev datotek poverilnic “macaroon”, ki se uporabljajo za nadzor LND, implementacije omrežja Lightning. Projekt je pojasnil, da bi te izpostavljene poverilnice lahko napadalcem omogočile prevzem nadzora nad vozliščem LND in premikanje z njim povezanih sredstev.

BTCPay je operaterjem, ki izpostavljajo LND prek lastnega povratnega proxyja, storitve Tor, posredovanih vrat ali drugih neodvisnih poti, svetoval, naj ločeno zamenjajo svoje poverilnice. Projekt je pojasnil, da namestitev posodobitve ne zapira dostopnih poti, ki jih neodvisno upravlja operater.

Ta incident označuje še en varnostni dogodek, ki vključuje široko uporabljane Bitcoin-povezane izdelke, in se je zgodil po tem, ko je bila ranljivost v strojni denarnici Coldcard povezana z več kot 100 milijoni dolarjev prijavljenih izgub. Oba incidenta sta prizadela programsko opremo, ki podpira Bitcoin, in ne temeljnega protokola omrežja.

Vsaj dva operaterja sta javno poročala o finančnih izgubah. Izvršni direktor podjetja Foundation, Zach Herbert, je izjavil, da je bilo Lightning vozlišče podjetja izpraznjeno. Kasneje je pojasnil, da čeprav njegova vroča denarnica ni bila prizadeta, so bili njegovi Lightning kanali zaprti in sredstva so bila prenesena. Bitcoin publikacija Citadel21 je prav tako poročala, da je bilo njeno Lightning vozlišče izpraznjeno. Nobeden od operaterjev ni razkril specifičnih zneskov izgub.