BTCPay Server lupaa 3 bitcoinin palkkion Lightning-haavoittuvuuden paljastuttua
- BTCPay Server maksaa 10 prosentin palautuspalkkion, enintään 3 bitcoinia, varastetuista varoista.
- Bitcoin Magazinen mukaan hyökkääjät nappasivat Lightning-verkon ylläpitäjän macaroon-tunnuksia haavoittuvista asennuksista viime viikolla.
- Projekti lahjoittaa 0,21 bitcoinia Sparrow Walletin kehittäjälle Craig Raw'lle ja saman verran Bitcoin Red Team -rahastolle, joka löysi heinäkuussa 85 kriittistä haavoittuvuutta 390 repositoriosta.
- BTCPay Server varoittaa, että kehittyvä tekoäly nopeuttaa haavoittuvuuksien etsimistä ja suosii hyökkääjiä.
Palkkio on kymmenen prosenttia takaisin saaduista varoista, ja BTCPay Server esitti saman tarjouksen myös hyökkääjälle itselleen. Taustalla on viime viikolla paljastunut haavoittuvuus, joka päästi hyökkääjät käsiksi Lightning-lompakoiden ylläpitäjätunnuksiin.
Kolmen bitcoinin palkkio odottaa sitä, joka auttaa palauttamaan viime viikolla varastetut varat. Avoimen lähdekoodin maksujärjestelmä BTCPay Server ilmoitti rahoittavansa palautuspalkkion, joka on 10 prosenttia takaisin saaduista varoista. Jos varkaus selvitetään kokonaan, palkkio nousee enintään kolmeen bitcoiniin.
Kyse ei ole tyypillisestä hyökkääjän jahtaamisesta vaan yrityksestä ostaa yhteistyötä rahalla. BTCPay Server on itse ylläpidettävä maksunvälitysalusta, jota käyttävät sekä pienet kauppiaat että suuremmat bitcoin-yritykset omien palvelimiensa kautta.
Bitcoin Magazine kertoo, että hyökkääjät onnistuivat viime viikolla nappaamaan Lightning-verkon ylläpitäjän macaroon-tunnuksia haavoittuvista BTCPay Server -asennuksista. Macaroon-tunnukset ovat valtuutusavaimia, jotka antavat täyden hallinnan uhrin Lightning-lompakkoon, joten niiden vuotaminen vastaa suoraan varojen luovuttamista. Lehden mukaan BTCPay Server julkaisi haavoittuvuudesta myös tekniset yksityiskohdat ja korjausohjeet erillisessä turvallisuustiedotteessa.
BTCPay Server esitti palkkiotarjouksen poikkeuksellisesti myös hyökkääjälle itselleen sekä kenelle tahansa, jolla on asiaan liittyvää tietoa. Projekti avasi asiaa varten oman sähköpostiosoitteen ja tarjoutuu tarvittaessa keskustelemaan salatulla kanavalla, kuten Signalilla. Tarjous on avoin, eikä palauttajalta kysellä kysymyksiä varoja luovutettaessa.
Projekti pahoitteli tapahtunutta tiedotteessaan varsin suoraan uhreille.
– Varoja menettäneille käyttäjille: olemme pahoillamme. Tutkimme virheemme, mutta pelkkä katuminen ei auta uhreja eikä turvaa projektia.
– Hukattavaa aikaa ei ole. Meidän on opittava, parannettava ja toimittava nopeasti, BTCPay Server totesi tiedotteessaan.
Kiitokseksi vastuullisesta ilmoittamisesta BTCPay Server Foundation lahjoittaa 0,21 bitcoinia Sparrow Walletin kehittäjälle Craig Raw'lle ja toiset 0,21 bitcoinia Bitcoin Red Team -rahastolle. Sama rahasto tunnetaan Kryptolehden lukijoille heinäkuisesta Coldcard-tapauksesta, jossa se löysi 85 kriittistä haavoittuvuutta 390 avoimen lähdekoodin repositoriosta. Nyt ryhmä palkitaan jo toisesta paljastuksesta parissa kuukaudessa.
BTCPay Server kertoi, että pörssien, lohkoketjuanalyysiyhtiöiden ja viranomaisten turvallisuustiimit ovat tarjoutuneet auttamaan varastettujen varojen jäljittämisessä. Vielä ilmoittautumattomia uhreja pyydetään jakamaan lompakko-osoitteensa ja tapahtumatiedot sekä tekemään ilmoitus paikallisille viranomaisille ja pörssille, johon varat mahdollisesti päätyvät.
Yksittäiset ilmoitukset auttavat rakentamaan todistusketjua, joka parantaa varojen jäädyttämisen mahdollisuuksia. Mitä useampi uhri ilmoittautuu, sitä tarkemman kokonaiskuvan tutkijat saavat varastettujen varojen liikkeistä eri pörssien välillä.
BTCPay Server nosti tiedotteessaan esiin myös laajemman kehityskulun. Tekoälymallien kehittyminen tekee suurten koodikantojen läpikäymisestä hyökkääjille yhä nopeampaa ja halvempaa. Kehitys kallistaa asetelmaa hyökkääjien eduksi.
Bitcoin-projektit huomaavat tämän ensimmäisinä, koska ne ovat hyökkääjille arvokkaita kohteita. Se, tarttuuko hyökkääjä palkkiotarjoukseen, jää nähtäväksi.
