BTCPay يقيد الوصول عن بُعد إلى شبكة Lightning بعد أن سرق المهاجمون الأموال

قامت BTCPay Server مؤقتًا بتقييد الاتصالات العامة عن بُعد مع عقد Lightning Network التي تشغّل برنامج Lightning Network Daemon (LND) بعد أن استغل مهاجمون ثغرة أمنية حرجة للحصول على بيانات الاعتماد وتحويل الأموال. 

إصدار 2.4.2 يقوم بتثبيت LND إصدار 0.21.1 ويعيد إنشاء بيانات اعتماد الماكارون تلقائيًا على تثبيتات BTCPay القياسية. نصح المشروع المشغلين بفحص المدفوعات غير المصرح بها، إغلاق القنوات غير المتوقع، الأقران غير المألوفين، والفروقات في أرصدة onchain أو Lightning الخاصة بهم.

يعد اختراق BTCPay أحدث حادثة أمنية تتعلق بمنتجات Bitcoin المستخدمة على نطاق واسع، بعد ثغرة في محفظة الأجهزة Coldcard التي أدت إلى خسائر مؤكدة تزيد عن 100 مليون دولار. أثرت الحوادث المنفصلة على برمجيات محيطة بـ Bitcoin بدلاً من بروتوكول الشبكة الأساسي.

التحديث يغير بيانات اعتماد Lightning تلقائيًا

ذكرت BTCPay أن الثغرة سمحت لمهاجم عن بُعد بدون مصادقة بالحصول على ملفات بيانات اعتماد "ماكارون" المستخدمة للتحكم في LND، وهو تنفيذ لشبكة Lightning. أوضح المشروع أن بيانات الاعتماد المكشوفة يمكن أن تتيح للمهاجمين السيطرة على عقدة LND وتحريك أموالها.

وفقًا للاستشارة الأمنية للمشروع، يقوم إصدار 2.4.2 بتثبيت LND إصدار 0.21.1 ويعيد إنشاء بيانات اعتماد الماكارون تلقائيًا على تثبيتات BTCPay القياسية. نصح المشغلين بفحص المدفوعات غير المصرح بها، إغلاق القنوات غير المتوقع، الأقران غير المألوفين، والفروقات بين سجلاتهم وأرصدة onchain أو Lightning الخاصة بهم. 

ذو صلة: ثغرة Coldcard ترفع خسائر يوليو إلى 247 مليون دولار كثاني أسوأ شهر في 2026

ذكرت BTCPay أيضًا أن المشغلين الذين يعرّضون LND الخاص بهم من خلال وكيل عكسي مستقل، خدمة Tor، منفذ محوّل أو أي مسار آخر خارج BTCPay يجب عليهم تدوير بيانات اعتمادهم بشكل منفصل. وأوضحت أن تثبيت التحديث لا يغلق المسارات التي تدار بشكل مستقل من قبل المشغل. 

أبلغ ما لا يقل عن مشغلين اثنين علنًا عن خسائر. لم يكشف أي من المشغلين عن حجم الخسائر. 

مجلة: أغرب 10 أشياء تم ترميزها على الإطلاق... بما في ذلك الضرطات