BTCPay Server ограничил удаленный доступ к Lightning после взлома узлов

BTCPay Server ограничил публичные удаленные подключения к Lightning-узлам, работающим на программном обеспечении Lightning Network Daemon (LND). Причиной стала критическая уязвимость, через которую атакующие смогли получить файлы учетных данных и вывести средства. В компании заявили, что ограничение носит временный характер и не затрагивает сами Lightning-платежи.

По данным проекта, уязвимость позволяла неавторизованному удаленному злоумышленнику получить так называемые macaroon-файлы, используемые для управления LND. С их помощью атакующие могли полностью контролировать узел и перемещать его средства. Проблема затрагивает публичные удаленные подключения через домен BTCPay Server или Tor-адрес в Docker-развертываниях.

В обновлении версии 2.4.2 устанавливается LND 0.21.1 и автоматически перегенерируются учетные данные на стандартных установках BTCPay. Операторам, которые подключаются к LND через собственный обратный прокси, Tor-сервис или переадресацию портов, необходимо менять пароли вручную. В компании подчеркнули, что обновление не закрывает доступные операторам маршруты, управляемые независимо.

На данный момент о потерях публично сообщили как минимум две организации. Генеральный директор Foundation Зак Герберт рассказал, что Lightning-узел его компании был опустошен за ночь. Позже он уточнил, что горячий кошелек не пострадал, а каналы Lightning были закрыты, средства переведены. Издание Citadel21 также сообщило о том, что его Lightning-узел был опустошен, но ни одна из организаций не раскрыла сумму украденного.

Разработчики BTCPay рекомендовали операторам проверить узлы на предмет несанкционированных платежей, неожиданных закрытий каналов, неизвестных пиров и расхождений в балансах onchain или Lightning. Это уже второй заметный инцидент за последнее время, затрагивающий популярные биткоин-продукты, после обнаруженной уязвимости в Coldcard, с которой связывают потери на сумму более 100 миллионов долларов. Оба инцидента касаются программного обеспечения вокруг биткоина, а не самого базового протокола сети.