TL;DR

  • BTCPay Server ba søndag 1. november alle operatører stenge ned sine instanser etter rapporter om at hot wallets ble tømt av uautoriserte angripere.
  • Verken antall rammede servere, årsak eller tapt beløp er offentliggjort ennå.
  • Hendelsen følger en krisepatch (versjon 2.4.7) utgitt 29. oktober, samt et separat sikkerhetsbrudd i august som rammet Lightning-noder.
  • Markedet er allerede i risk-off-modus: bitcoin handles rundt 78.250 dollar og Fear & Greed-indeksen står på 37 av 100.

Krisevarsel sendt ut på X

BTCPay Server, det åpne kildekode-systemet som gjør det mulig for forhandlere å ta imot bitcoin-betalinger uten en tredjeparts betalingsleverandør, gikk søndag ettermiddag ut med en hasteoppfordring. Prosjektet ba alle som kjører en egen instans om å stenge den ned umiddelbart med kommandoen "./btcpay-down.sh", inntil en pågående etterforskning er avsluttet, skriver ForexLive (investinglive.com).

Bakgrunnen er rapporter om at hot wallets på flere servere har blitt tømt av uautoriserte angripere. En hot wallet er en lommebok der de private nøklene ligger på en internett-tilkoblet server, slik at systemet automatisk kan sende ut midler, for eksempel refusjoner til kunder. Denne praktiske løsningen gjør lommeboken til et langt mer attraktivt mål enn kaldlagring som er fysisk koblet fra nettet.

Det er viktig å presisere at hendelsen gjelder programvaren rundt bitcoin-betalinger, ikke selve bitcoin-nettverket. BTCPay har foreløpig ikke offentliggjort hvor mange servere som er rammet, hvilken sårbarhet som er utnyttet, eller hvor mye som er stjålet.

Vi mottar rapporter om at hot wallets på BTCPay-servere blir tømt av uautoriserte angripere. Kjører du en instans, vennligst steng den ned til vi har fullført undersøkelsen

Tredje hendelse på kort tid

Dette er ikke første gang i år BTCPay Server har måttet håndtere et sikkerhetsproblem. Den 29. oktober lanserte prosjektet hasteversjonen 2.4.7 for å tette én kritisk og flere middels alvorlige sårbarheter. BTCPay har ikke bekreftet om det nye angrepet henger sammen med sårbarhetene som nylig ble patchet, eller om servere som allerede har oppdatert til 2.4.7 likevel er rammet.

I august ble en helt annen svakhet utnyttet, der angripere stjal såkalte macaroon-legitimasjoner til Lightning Network-noder og tappet flere operatører, blant annet maskinvarelommebok-produsenten Foundation. Den gangen understreket BTCPay at de vanlige on-chain hot wallets innebygd i systemet ikke var berørt. Det gjør søndagens varsel spesielt bemerkelsesverdig, fordi det nå ser ut til å ramme nettopp den type lommebok som ble skjermet i august.

Et urovekkende mønster for selvhostede systemer

BTCPay Server ble opprinnelig laget som et ikke-depot-basert alternativ til sentraliserte betalingsløsninger som BitPay, nettopp for å gi forhandlere full kontroll over egne midler uten mellomledd eller gebyrer. Den styrken er samtidig en sårbarhet: fordi hver operatør selv drifter og sikrer sin installasjon, er oppdateringstakt og sikkerhetspraksis svært ulik fra sted til sted.

I forbindelse med augusthendelsen advarte prosjektet selv om at kunstig intelligens endrer maktbalansen mellom angripere og forsvarere, fordi det nå går raskere og billigere å lete gjennom store kodebaser etter svakheter. Bitcoin-relaterte prosjekter er spesielt utsatt ettersom de håndterer verdifulle eiendeler direkte.

Hva skjer nå

De sentrale spørsmålene fremover er om BTCPay klarer å spore angrepet til en bestemt programvareversjon, og om servere som allerede kjører oppdateringen fra 29. oktober likevel er rammet. Omfanget av tapene og eventuelle meldinger fra navngitte forhandlere vil vise hvor alvorlig hendelsen faktisk er. Erfaringen fra august viser at det første varselet ikke nødvendigvis gjenspeiler det endelige bildet — den gangen ble omfanget betydelig innsnevret etter hvert som etterforskningen skred frem.

Inntil BTCPay gir klarsignal, anbefales det at alle operatører med midler i en hot wallet følger oppfordringen om å stenge ned sine instanser.

Markedskontekst

Varselet kommer i en periode preget av svak risikoappetitt i kryptomarkedet. Bitcoin handles for tiden rundt 78.250 dollar, og Fear & Greed-indeksen står på 37 av 100, som indikerer frykt blant investorer. Sikkerhetshendelser av denne typen, selv når de rammer infrastruktur rundt bitcoin snarere enn selve nettverket, bidrar typisk til å forsterke en allerede nervøs stemning blant både forhandlere og privatpersoner som bruker selvhostede løsninger.