Vývojári platobného systému BTCPay Server varujú pred kybernetickými útokmi, pri ktorých útočníci odčerpávajú kryptomeny z peňaženiek prevádzkovateľov. Problém zasiahol predovšetkým zastarané inštalácie, pričom bol odcudzený bitcoin aj litecoin. Správcovia napadnutých inštancií preto musia bezodkladne zaviesť dodatočné bezpečnostné opatrenia.
Mohlo by vás zaujímať: Solana prešla najväčšou zmenou za šesť rokov
Útočníci zneužili starú bezpečnostnú trhlinu
BTCPay Server umožňuje obchodníkom prijímať platby v bitcoine bez sprostredkovateľov, čo znamená, že všetka zodpovednosť za zabezpečenie leží priamo na správcovi servera. Prvé hlásenia o krádežiach dorazili vývojárom 1. novembra, ktorí obratom vyzvali prevádzkovateľov na preventívne vypnutie inštancií pomocou príkazu ./btcpay-down.sh. Poskytovatelia hostingu vrátane služby LunaNode následne zasiahnuté servery odpojili. Vyšetrovanie potvrdilo, že cieľom boli verzie 2.4.1 a staršie, pri ktorých útočníci zneužili zraniteľnosť opravenú vývojármi už 7. augusta vo verzii 2.4.2.
Terčom sa stali takzvané horúce peňaženky (hot wallets), ktoré uchovávajú privátne kľúče priamo na serveri pripojenom k internetu, čo útočníkovi s prístupom umožňuje previesť prostriedky bez vedomia majiteľa. Analytická spoločnosť Bitquery spojila s podozrivou aktivitou neautorizované prevody v hodnote približne 1,63 milióna USD v sieťach Bitcoin a Litecoin, pričom niektoré transakcie pokračovali aj po zverejnení oficiálneho varovania. BTCPay Server však upozorňuje, že celkovú škodu ani presný počet obetí zatiaľ nemožno s istotou potvrdiť.
Čítajte tiež: Trust Wallet recenzia: Ovládnite svoje kryptomeny s dôverou
Samotná aktualizácia systému nemusí stačiť
Servery aktualizované najneskôr do 1. novembra na verziu 2.4.2 alebo novšiu zostali podľa projektu bez známok napadnutia. Prevádzkovateľom starších a kompromitovaných inštalácií však vývojári odporúčajú oveľa radikálnejší postup než len update. Správcovia by mali previesť všetky zostávajúce kryptomeny do novej peňaženky s čerstvo vygenerovaným seedom, pôvodný server úplne vypnúť a vykonať čistú inštaláciu od základu. Samozrejmosťou je aj okamžitá zmena hesiel a prístupových údajov.
Peňaženky, ktoré uchovávajú privátne kľúče mimo servera – napríklad hardvérové peňaženky –, útokom podľa vývojárov zasiahnuté neboli. BTCPay Server preto používateľom dôrazne pripomína osvedčené pravidlo: na horúcich online peňaženkách držať iba minimálne zostatky nutné na bežnú každodennú prevádzku a zvyšok prostriedkov ukladať do chladného offline úložiska.
Mohlo by sa vám páčiť: Bitcoin čaká na Fed
Zdroje:
- BTCPay Server (oficiálne oznámenie a bezpečnostné odporúčania): https://btcpayserver.org
- Bitquery (blockchainová analytika a monitoring podozrivých transakcií): https://bitquery.io
- LunaNode (cloudový hosting a infraštruktúra): https://www.lunanode.com
Zdroj fotky: Unsplash
