BTCPay Server, saldırganların kritik bir güvenlik açığından yararlanarak kimlik bilgilerini ele geçirmesi ve fonları taşımasının ardından Lightning Network Daemon (LND) yazılımını çalıştıran Lightning Network düğümlerine yönelik herkese açık uzaktan bağlantıları geçici olarak kısıtladı.
BTCPay, söz konusu kısıtlamanın Zeus gibi harici cüzdanların Docker dağıtımlarında BTCPay Server alan adı veya Tor onion adresi üzerinden bağlantı kurmasını engellediğini açıkladı. BTCPay, Lightning ödemelerinin devam edebileceğini ve güvenli olduğuna karar verdiğinde uzaktan erişim seçeneğini yeniden etkinleştirmeyi planladığını belirtti.
2.4.2 sürümü, LND'nin 0.21.1 sürümünü yüklüyor ve standart BTCPay kurulumlarında macaroon kimlik bilgilerini otomatik olarak yeniden oluşturuyor. Proje, operatörlere yetkisiz ödemeler, beklenmedik kanal kapanışları, tanınmayan eşler ve zincir üstü veya Lightning bakiyelerindeki tutarsızlıkları kontrol etmeleri tavsiyesinde bulundu.
BTCPay ihlali, 100 milyon doların üzerinde doğrulanmış kayıpla ilişkilendirilen Coldcard donanım cüzdanı açığının ardından, yaygın kullanılan Bitcoin ürünlerini etkileyen en son güvenlik olayı oldu. Birbirinden bağımsız bu olaylar, Bitcoin ağının temel protokolü yerine Bitcoin çevresindeki yazılımları etkiledi.
Güncelleme Lightning kimlik bilgilerini otomatik olarak yeniliyor
BTCPay, güvenlik açığının kimliği doğrulanmamış uzaktaki bir saldırganın Lightning Network'ün bir uygulaması olan LND'yi kontrol etmek için kullanılan “macaroon” kimlik bilgisi dosyalarını ele geçirmesine imkan tanıdığını belirtti. Proje, açığa çıkan kimlik bilgilerinin saldırganların bir LND düğümünün kontrolünü ele geçirerek fonlarını taşımasına olanak sağlayabileceğini söyledi.
Projenin güvenlik duyurusuna göre 2.4.2 sürümü, LND'nin 0.21.1 sürümünü yüklüyor ve standart BTCPay kurulumlarında macaroon kimlik bilgilerini otomatik olarak yeniden oluşturuyor. Proje, operatörlere yetkisiz ödemeleri, beklenmedik kanal kapanışlarını, tanınmayan eşleri ve kendi kayıtlarıyla zincir üstü veya Lightning bakiyeleri arasındaki tutarsızlıkları kontrol etmeleri tavsiyesinde bulundu.
BTCPay ayrıca LND'yi kendi ters proxy'leri, Tor hizmetleri, yönlendirilmiş bağlantı noktaları veya BTCPay dışındaki başka bir yol üzerinden erişime açan operatörlerin kimlik bilgilerini ayrıca yenilemesi gerektiğini belirtti. Proje, güncellemenin yüklenmesinin operatör tarafından bağımsız şekilde yönetilen erişim yollarını kapatmadığını söyledi.
En az iki operatör kayıp yaşadığını kamuoyuna açıkladı. Foundation CEO'su Zach Herbert, donanım cüzdanı şirketinin Lightning düğümündeki fonların gece boyunca boşaltıldığını söyledi. Herbert daha sonra sıcak cüzdanlarının etkilenmediğini, ancak Lightning kanallarının kapatıldığını ve fonların aktarıldığını açıkladı.
Bitcoin yayını Citadel21 de Lightning düğümündeki fonların boşaltıldığını bildirdi. Operatörlerin hiçbiri kaybettikleri miktarı açıklamadı.