BTCPay Server закрив критичну вразливість із обліковими даними LND після спорожнення Lightning-гаманців

BTCPay Server випустив версію 2.4.2, яка усуває критичну вразливість: вона давала змогу віддалено й без автентифікації отримувати доступ до файлів облікових даних LND. За повідомленнями, зловмисники скористалися проблемою, аби вивести кошти з Lightning-гаманців торговців. У примітках до релізу йдеться про серйозний дефект, пов'язаний із файлами .macaroon. У LND вони керують правами доступу й фактично можуть працювати як ключі: потрапивши не до тих рук, такий файл здатен відкрити доступ до функцій вузла Lightning у спосіб, якого оператор не передбачав. Прихильники BTCPay також підтримали "recovery bounty": винагороду за повернення коштів у розмірі 10% від суми, яку вдасться відновити, але не більше ніж 3 BTC. За поточних цін це дає максимальну виплату близько $190 000. Команда наголошує: це не експлойт протоколу Bitcoin і не збій нативного onchain-гаманця. Йдеться про проблему безпеки на рівні сервера, яка зачіпає певні конфігурації BTCPay Server з LND. Деталі опубліковані на офіційній сторінці проєкту на GitHub. Коротко: — BTCPay Server v2.4.2 закриває критичне витікання облікових даних LND. — Вразливі інсталяції, за даними повідомлень, дозволили спорожнити Lightning-гаманці мерчантів. — Оголошено винагороду за повернення коштів: 10% від повернутого, максимум 3 BTC. Чому це важливо BTCPay Server популярний тим, що дає змогу приймати Bitcoin-платежі без централізованого процесингу. Модель самостійного контролю над інфраструктурою посилює суверенність мерчанта, але водночас робить критичною дисципліну в питаннях безпеки: оновлення, коректні налаштування, контроль доступів. Вразливість, виправлена у v2.4.2, небезпечна саме через природу macaroons у LND: залежно від наданих прав вони можуть відкривати доступ до чутливих операцій вузла. Для операторів Lightning захист таких облікових даних практично дорівнює за важливістю захисту приватних ключів. Гаманець може бути технічно справним, але витік серверних credentials здатен поставити кошти під загрозу. Це не атака на сам Bitcoin Інциденти на рівні інфраструктури легко трактувати як "поломку Bitcoin", коли з'являються новини про виведення коштів із платіжних серверів. У цьому випадку базовий протокол Bitcoin не зламано. Проблема стосується розгортань BTCPay Server, що використовують LND, і доступу до файлів облікових даних. Це подія з площини безпеки застосунків та інфраструктури, а не збій консенсусу чи блокчейна Bitcoin. Для постраждалих торговців різниця може не здаватися суттєвою, адже втрачені Lightning-кошти залишаються втраченими. Проте коректне формулювання важливе, бо й рішення інше: патч протоколу Bitcoin не потрібен. Операторам BTCPay Server слід терміново оновитися, перевірити конфігурації та захистити облікові дані вузла. Інші ризики інфраструктури Lightning Lightning створений для швидших і дешевших платежів у Bitcoin, але додає операційну складність. Оператори працюють із каналами, ліквідністю, резервними копіями, віддаленим доступом, маршрутизацією, обліковими даними та експозицією сервера в інтернеті. Це інша модель ризиків, ніж зберігання BTC у холодному сховищі: мерчант фактично запускає "живе" платіжне ПЗ, підключене до мережі. За правильної експлуатації це може бути безпечно, але потребує постійної уваги: оновлення, права доступу, зберігання credentials і моніторинг. Нагорода як спроба відновлення Оголошена "recovery bounty" у 10% (до 3 BTC) має створити стимул для повернення коштів або надання інформації. Це може спрацювати, якщо зловмисники, посередники або особи, які мають відомості про рух коштів, вирішать, що співпраця вигідніша за подальший ризик. Винагорода не гарантує повернення, але може відкрити канал для переговорів чи розкриття деталей. У криптоіндустрії такі кроки нерідкі після інцидентів, оскільки викрадені активи інколи можна відстежувати, депозити на біржі — моніторити, а "чистий" вихід у фіат для атакувальників може бути ускладненим. Що мають зробити оператори Практичний висновок простий: оновити BTCPay Server до v2.4.2 та переглянути, чи не відкриті назовні облікові дані LND. Не варто виходити з того, що якщо система працювала роками, то вона залишиться безпечною без змін. Платіжна інфраструктура існує в середовищі постійно змінних загроз: зловмисники шукають застарілі версії, помилки конфігурації, витоки credentials, надмірні дозволи та сервіси, доступні з інтернету. BTCPay Server і надалі залишається важливим інструментом для Bitcoin-мерчантів, але self-custody і self-hosting означають відповідальність. Версія 2.4.2 є точкою виправлення цього дефекту, тому оновлення для вразливих інсталяцій слід вважати терміновим. Матеріал підготовлено на основі релізних документів BTCPay Server v2.4.2 та деталей щодо recovery bounty, оприлюднених на GitHub. Текст підготувала редакція News Desk, відредагував Samuel Rae.