حامیان BTCPay Server اعلام کردند در صورت بازگرداندن بیت‌کوین‌های سرقت‌شده، تا ۱۰٪ از مبلغ بازیابی‌شده (تا سقف 3 BTC) به‌عنوان پاداش پرداخت خواهند کرد.

شرح حادثه

BTCPay در پستی رسمی و اطلاعیه‌های شبکه‌های اجتماعی خبر داد مهاجمان با سوءاستفاده از نقصی در نرم‌افزار توانسته‌اند macaroonهای مدیریتی سرویس LND را به‌دست آورده و از طریق آن به کیف‌پول‌های متصل به نودهای لایتنینگ دسترسی پیدا کنند. مقدار دقیق بیت‌کوین‌های سرقت‌شده و شمار کاربران متأثر هنوز اعلام نشده است.

علت و نحوه سوءاستفاده

macaroonها نوعی اعتبارنامه‌اند که دسترسی‌های گسترده به نودهای شبکه لایتنینگ فراهم می‌کنند؛ در صورت افشای آن‌ها مهاجم می‌تواند تراکنش‌ها را امضا و وجوه را منتقل کند. گزارش BTCPay نشان می‌دهد نقص مشخصاً روی سرورهای LND اثر گذاشته و مهاجمان از همین مسیر به کیف‌پول‌ها نفوذ کرده‌اند.

نمایی از اعلان هشدار امنیتی BTCPay Server

پاداش بازپس‌گیری و شرایط تقسیم

پیشنهاد پاداش برای هر کسی است که اطلاعات مفید دربارهٔ محل یا مسیر نقل‌وانتقال وجوه ارائه دهد؛ حتی اگر منبع اطلاعات از سوی خود مهاجم باشد. نرخ پاداش ۱۰٪ از مبلغ بازیابی‌شده تعیین شده و سقف کلی برنامه فعلاً 3 BTC اعلام شده است (معادل تقریبی 190,000 دلار در زمان اطلاع‌رسانی).

نحوه پرداخت و معیارهای تقسیم

  • در صورت وجود چندین سرنخ منتهی به بازیابی، تقسیم پاداش با هماهنگی قربانیان انجام می‌شود.
  • معیارهای تقسیم شامل میزان خسارت هر قربانی، مقدار واقعی بازیابی‌شده و سهم هر سرنخ در روند بازیابی خواهد بود.
  • بنیاد BTCPay همچنین اعلام کرده پژوهشگران امنیتی که افشای مسئولانه انجام داده‌اند، هر یک را با 0.21 BTC قدردانی می‌کند و بخشی از مبلغ را به صندوق Bitcoin Red Team اهدا خواهد کرد.

منابع رسمی مرتبط: سایت رسمی BTCPay Server، مخزن LND در گیت‌هاب و توضیحات فنی درباره شبکه لایتنینگ در Wikipedia.

اقدامات فوری برای کاربران

  • در صورت استفاده از BTCPay Server و نسخه‌های مرتبط با LND، فوراً به نسخه 2.4.2 به‌روزرسانی کنید یا در صورت امکان سرویس را موقتاً آفلاین ببرید.
  • کلیدها و macaroonهای ذخیره‌شده را بازبینی و در صورت هر شک نسبت به افشا، آن‌ها را بازتولید (rotate) کنید.
  • لاگ‌ها و فعالیت‌های اخیر نود را برای شواهد دسترسی غیرمجاز بررسی کنید و در صورت لزوم از متخصصان امنیتی مشورت بگیرید.
  • هر سرنخ یا اطلاعات مرتبط را از طریق کانال‌های رسمی BTCPay گزارش دهید؛ از انتشار عمومی اطلاعات حساس خودداری کنید تا روند بازیابی مختل نشود.
نمودار شماتیک حمله و دسترسی از طریق macaroon در LND

پیام BTCPay و پیامدهای بلندمدت

BTCPay این رخداد را هشداری برای تقویت بررسی‌های کد، اولویت‌بخشی به پچ‌های امنیتی و بهبود فرایندهای پاسخ امنیتی خوانده است. بنیاد بر نیاز به ابزارها و فرایندهای دقیق‌تر برای کشف آسیب‌پذیری و حمایت از پژوهشگران گزارش‌دهنده تأکید کرده است.

منابع بیشتر

این حادثه یادآور آسیب‌پذیری‌های زنجیره‌ای در سامانه‌های متن‌باز و ضرورت واکنش سریع و هماهنگ است. گزارش‌ها و جزئیات فنی تکمیلی احتمالاً طی روزهای آتی منتشر می‌شوند؛ تا آن زمان کاربران باید اقدامات ایمنی را فوراً انجام دهند و هر سرنخ مرتبط را به مراجع رسمی اطلاع دهند.