BTCPay Server — бесплатный инструмент с открытым исходным кодом, с помощью которого компании принимают платежи в биткоинах. Проект призвал операторов отключить серверы после сообщений о том, что злоумышленники опустошают подключённые к ним горячие кошельки.
«Мы получаем сообщения о том, что злоумышленники без разрешения выводят средства из горячих кошельков на серверах BTCPay. Если вы используете такой экземпляр, пожалуйста, отключите его командой
./btcpay-down.shдо завершения расследования», — сообщила команда BTCPay Server.
Основатель BTCPay Николас Дорье сообщил, что, по имеющимся сведениям, атаки затрагивали версии старше 2.4.2, а злоумышленники входили на уязвимые серверы с правами администратора.
По итогам расследования проект сообщил, что выявленный способ атаки нацелен на экземпляры версии 2.4.1 и старше. Достоверных сообщений о краже средств из горячих кошельков у пользователей последней версии 2.4.7 нет. Проект призвал всех обновить программное обеспечение и попросил пострадавших отправить сведения и журналы команде безопасности.
Некоторые хостинг-провайдеры, в том числе LunaNode, автоматически отключили экземпляры BTCPay, чтобы предотвратить эксплуатацию уязвимостей в старых версиях. Проект не сообщил, сколько серверов пострадало и сколько биткоинов было похищено.
Горячие кошельки и экстренное обновление BTCPay
BTCPay работает на серверах самих пользователей: каждый продавец самостоятельно устанавливает программу, и единого оператора, который мог бы отключить все экземпляры, нет. Продавцы могут использовать горячий кошелёк — в этом случае seed-фраза хранится на подключённом к интернету сервере, который может автоматически подписывать транзакции. В документации BTCPay эта функция помечена как «ОПАСНО» и сопровождается предупреждением о связанных с ней рисках безопасности.
В версии 2.4.7, выпущенной как экстренное обновление, устранены одна критическая уязвимость и несколько уязвимостей средней степени серьёзности. По словам BTCPay, на них обратила внимание сканирующая система Anthropic для поиска уязвимостей в программном обеспечении с открытым исходным кодом. Проект не уточнил, использовали ли злоумышленники какие-либо из этих уязвимостей.
Это не первый случай, когда проект предупреждает о проблемах безопасности. Ранее BTCPay сообщала об активной эксплуатации критической уязвимости во всех версиях до 2.4.2 и призывала пользователей обновить программу или отключить серверы. Сторонники проекта учредили вознаграждение за возврат похищенных средств: 10% от возвращённой суммы, но не более 3 BTC.