BTCPay Server obmedzuje vzdialený prístup k Lightning po zneužití poverení

BTCPay Server dočasne obmedzil verejné vzdialené pripojenia k uzlom siete Lightning Network, ktoré využívajú softvér Lightning Network Daemon (LND). Toto opatrenie nasleduje po zneužití, pri ktorom útočníci využili kritickú zraniteľnosť na získanie poverení a prevod finančných prostriedkov.

Obmedzenie ovplyvňuje externé peňaženky, ako je Zeus, a bráni im v pripojení prostredníctvom domény BTCPay Server alebo Tor onion adresy pri nasadeniach Docker. BTCPay uviedol, že platby Lightning zostávajú funkčné a možnosť vzdialeného prístupu bude obnovená, akonáhle bude zaistená bezpečnosť.

Verzia 2.4.2 BTCPay Server integruje LND verziu 0.21.1 a automaticky regeneruje poverenia macaroon v štandardných inštaláciách BTCPay. Projekt odporučil operátorom, aby skontrolovali svoje systémy na neoprávnené platby, neočakávané zatváranie kanálov, neznámych partnerov a nezrovnalosti v ich on-chain alebo Lightning zostatkoch.

BTCPay uviedol, že zraniteľnosť umožnila neautentifikovanému vzdialenému útočníkovi získať súbory poverení „macaroon“, ktoré sa používajú na ovládanie LND, implementácie Lightning Network. Projekt vysvetlil, že tieto odhalené poverenia by mohli útočníkom umožniť získať kontrolu nad uzlom LND a presunúť s ním spojené finančné prostriedky.

BTCPay tiež odporučil operátorom, ktorí vystavujú LND prostredníctvom vlastného reverzného proxy, služby Tor, presmerovaného portu alebo iných nezávislých ciest, aby si svoje poverenia obmieňali samostatne. Projekt objasnil, že inštalácia aktualizácie neuzatvára prístupové cesty spravované operátorom nezávisle.

Tento incident predstavuje ďalšiu bezpečnostnú udalosť zahŕňajúcu široko používané produkty súvisiace s Bitcoinom, ktorá sa vyskytla po tom, čo zraniteľnosť v hardvérovej peňaženke Coldcard bola spojená s nahlásenými stratami vo výške viac ako 100 miliónov dolárov. Oba incidenty ovplyvnili softvér podporujúci Bitcoin, a nie základný protokol siete.

Najmenej dvaja operátori verejne nahlásili finančné straty. Generálny riaditeľ spoločnosti Foundation, Zach Herbert, uviedol, že Lightning uzol spoločnosti bol vyprázdnený. Neskôr objasnil, že zatiaľ čo jeho hot wallet zostala nedotknutá, jeho Lightning kanály boli zatvorené a prostriedky boli odčerpané. Bitcoinová publikácia Citadel21 tiež uviedla, že jej Lightning uzol bol vyprázdnený. Ani jeden operátor neuviedol konkrétne stratené sumy.