Хакеры похитили биткоины из горячих кошельков BTCPay Server

Команда открытого и бесплатного платежного решения BTCPay Server заявила о зафиксированных случаях неавторизованного вывода средств, затронувшего горячие кошельки пользователей. Администраторам инсталляций рекомендовано временно приостановить функционирование своих серверов, пока продолжается расследование обстоятельств инцидента.

Начальное оповещение было опубликовано 1 ноября в 22:25 UTC. Для остановки сервисов разработчики посоветовали применить скрипт ./btcpay-down.sh.

Система BTCPay Server предназначена для прямой обработки платежей в первой криптовалюте интернет-магазинами и компаниями без участия третьих сторон. Программный комплекс разворачивается непосредственно на собственных либо арендованных мощностях клиентов. Из-за децентрализованного характера архитектуры проект лишен возможности централизованно остановить работу всех сторонних узлов.

В платформе реализован функционал горячих кошельков, при котором сид-фраза находится на имеющем сетевое подключение сервере для автоматического визирования исходящих переводов. Подобная схема обеспечивает оперативность расчетов, однако сопряжена с рисками при компрометации оборудования злоумышленниками.

По первичным оценкам основателя инициативы Николя Дорье, инцидент коснулся систем, функционирующих на сборках программного обеспечения старше версии 2.4.2. Он отметил, что атакующий получил административный доступ к окружению, подчеркнув при этом, что публичные серверы проекта с версией 2.4.7 ущерба не понесли. Точный вектор проникновения хакера специалистами пока не выяснен.

В дальнейшем представители BTCPay подтвердили сведения: выявленный механизм атаки применим к сборкам 2.4.1 и более старым релизам, крайний из которых датирован 23 июля. Подтвержденная информация о пропаже активов с инсталляций актуальной версии 2.4.7 создателям платформы не поступала.

Разработчики повторно напомнили о необходимости регулярной установки обновлений. Столкнувшимся с атакой пользователям предложено переслать логи и детали произошедшего на почту security@btcpayserver.org. В то же время некоторые площадки на базе хостинг-провайдеров могли быть деактивированы в превентивном порядке ради защиты от эксплуатации брешей в устаревшем ПО; авторы проекта выразили признательность сервису LunaNode и иным хостерам за оперативное реагирование на дебютный алерт.

К настоящему моменту объем финансовых потерь, число пострадавших узлов и данные об атакующих остаются не установленными.

Стоит отметить, что 29 октября состоялся релиз версии 2.4.7, в которой устранили 85 дефектов безопасности, обнаруженных благодаря инструменту Anthropic OSS Scanner. Согласно опубликованному отчету, одна из уязвимостей имела критический уровень риска, 13 обладали высоким статусом, 52 — средним и 19 — низким. Корректировки затронули логику авторизации, функционал выплат, выставление счетов, API и ряд сопутствующих модулей сервера, а администраторам инсталляций со множеством магазинов было строго рекомендовано применить апдейт. На текущий момент взаимосвязь последних краж с устраненными недочетами или старыми багами не подтверждена.

Ранее, в августе, злоумышленники опустошили узлы сети Lightning, принадлежащие изданию Citadel21 и создателю аппаратных решений Foundation, задействовав критическую брешь в BTCPay Server. Тогда хакеры завладели авторизационными файлами LND (ПО для Lightning Network), что позволило им перехватить контроль над нодами и вывести монеты. Та уязвимость была ликвидирована в сборке 2.4.2, после чего создатели ПО предписали клиентам LND срочно обновиться или выключить оборудование.