BTCPay Serverin kuumia lompakkoja tyhjennettiin: vanhoja versioita käyttäviä ylläpitäjiä kehotetaan siirtymään uudelle palvelimelle
- Tietoturvahäiriö koski BTCPay Serverin versiota 2.4.1 ja sitä vanhempia, versiolla 2.4.2 tai uudemmalla vaikutuksia ei havaittu.
- Laite- ja katselulompakot säästyivät, koska niiden yksityiset avaimet eivät ole palvelimella.
- Bitquery arvioi varastetun omaisuuden arvoksi noin 1,63 miljoonaa dollaria, BTCPay ei ole julkaissut omaa lukua.
- Ylläpitäjiä neuvotaan siirtymään uudelle virtuaalikoneelle, luomaan uusi siemenlause ja siirtämään varat uuteen lompakkoon.
Hyökkääjät tyhjensivät kuumia lompakoita BTCPay Server -palvelimilta, joille ohjelmisto oli tallentanut lompakon siemenlauseen.
Ohjelmaa itse ylläpitävien kauppiaiden kuumia lompakkoja on tyhjennetty, kertoi avoimen lähdekoodin BTCPay Server -maksuohjelmiston kehittäjätiimi maanantaina 2. marraskuuta. Ongelma koskee versiota 2.4.1 ja sitä vanhempia.
Palvelimilla, joilla oli käytössä versio 2.4.2 tai uudempi, vaikutuksia ei BTCPayn mukaan havaittu.
Hyökkääjät käyttivät hyväkseen samaa haavoittuvuutta, jonka versio 2.4.2 korjasi, mutta eri menetelmällä kuin aiemmin. Tarkemmin BTCPay ei kuvaa hyökkäystä.
Kuumassa lompakossa siemenlause eli avain, jolla varoja voi käyttää, on tallennettu itse palvelimelle. Palvelimelle murtautunut hyökkääjä pääsi samalla käsiksi avaimeen. Laitelompakot ja katselulompakot, joissa yksityiset avaimet pysyvät palvelimen ulkopuolella, eivät joutuneet hyökkäyksen kohteeksi.
BTCPayn julkaiseman aikajanan mukaan varoja tyhjennettiin ensimmäisen kerran sunnuntaina 1. marraskuuta kello 13.46 UTC. Ensimmäinen varkaudesta kertova sähköposti saapui kello 20.56, ja varoitus palvelimien sulkemisesta julkaistiin X:ssä kello 22.25.
BTCPay ei kerro tappioiden määrää ja huomauttaa, ettei raportoituja saldoja pidä tulkita vahvistetuiksi menetyksiksi.
Lohkoketjudataa tarjoavan Bitqueryn laskelman mukaan bitcoineja ja litecoineja varastettiin noin 1,63 miljoonan dollarin arvosta. Siirtoja oli 682, ja niistä 267 tehtiin varoituksen jälkeen.
Varoituksen jälkeen tehtyjen 267 siirron arvo oli noin 150 000 dollaria. Raporttien mukaan palautetuista varoista on luvattu palkkioksi 10 prosenttia, enintään kolme bitcoinia.
Palvelin pitää siirtää uudelle virtuaalikoneelle ja luoda uusi siemenlause. Varat siirretään uuteen lompakkoon, ja kaikki tunnukset vaihdetaan.
Havainnoista pyydetään ilmoittamaan osoitteeseen security@btcpayserver.org.
