O BTCPay Server confirmou que atacantes exploraram uma falha crítica para roubar fundos de usuários que executam qualquer versão anterior à 2.4.2 e pediu aos operadores que atualizassem imediatamente.
O processador de pagamentos Bitcoin auto-hospedado lançou a versão 2.4.2 para fechar a vulnerabilidade. O problema permitiu que um atacante remoto não autenticado obtivesse arquivos de credenciais .macaroon para LND, uma implementação comum da Lightning Network.
O que os usuários do BTCPay Server devem fazer
As credenciais roubadas poderiam dar ao atacante controle total de um nó LND. A partir daí, o atacante poderia mover fundos diretamente para fora do nó.
“Confirmamos que atacantes exploraram essa vulnerabilidade. Usuários foram afetados e fundos foram roubados. Não estamos publicando detalhes técnicos ainda porque os operadores ainda precisam de tempo para atualizar,” disse a equipe.
Siga-nos no X para receber as últimas notícias à medida que acontecem
O risco se aplica especificamente a implantações que usam LND. Outras configurações da Lightning e usuários não Lightning não enfrentam exposição de credenciais, embora o projeto ainda tenha pedido que eles atualizassem. As próprias carteiras on-chain e hot do BTCPay Server permanecem inalteradas.
Operadores que usam LND devem atualizar para a versão 2.4.2 e LND 0.21.1 através do painel de manutenção. A atualização regenera macaroons automaticamente. Aqueles que não puderem aplicar o patch imediatamente foram instruídos a tirar seus servidores do ar.
O projeto também aconselhou os usuários do LND a revisar a atividade do nó em busca de pares desconhecidos, fechamentos de canais inesperados e pagamentos que não realizaram.
Um Segundo Golpe à Autocustódia do Bitcoin
A divulgação segue outro grande incidente de segurança. A Galaxy Research confirmou na sexta-feira que 1.719 Bitcoins (BTC), no valor de aproximadamente $111 milhões, foram roubados de usuários do Coldcard até agora. A empresa espera que as perdas totais ultrapassem $130 milhões uma vez que os casos pendentes sejam verificados.
Nenhum dos incidentes afetou o protocolo Bitcoin em si. Ambos expuseram fraquezas nas ferramentas construídas ao seu redor.
Inscreva-se em nosso canal do YouTube para assistir líderes e jornalistas fornecerem insights especializados
Fonte: BeInCrypto
