BTCPay limita l’accesso remoto a Lightning dopo il furto di fondi da parte di hacker
BTCPay Server ha temporaneamente limitato le connessioni remote pubbliche ai nodi Lightning Network che eseguono il software Lightning Network Daemon (LND) dopo che degli attaccanti hanno sfruttato una vulnerabilità critica per ottenere credenziali e spostare fondi.
La versione 2.4.2 installa LND versione 0.21.1 e rigenera automaticamente le credenziali macaroon sulle installazioni BTCPay standard. Il progetto ha consigliato agli operatori di controllare eventuali pagamenti non autorizzati, chiusure inattese dei canali, peer sconosciuti e discrepanze nei bilanci onchain o Lightning.
La violazione di BTCPay è l'ultimo incidente di sicurezza che coinvolge prodotti Bitcoin ampiamente utilizzati, dopo una vulnerabilità delle hardware wallet Coldcard collegata a oltre 100 milioni di dollari in perdite confermate. Gli incidenti separati hanno colpito il software attorno a Bitcoin piuttosto che il protocollo di base della rete.
L’aggiornamento ruota automaticamente le credenziali Lightning
BTCPay ha dichiarato che la vulnerabilità permetteva ad un attaccante remoto non autenticato di ottenere i file di credenziali “macaroon” utilizzati per controllare LND, un’implementazione di Lightning Network. Il progetto ha affermato che le credenziali esposte potevano consentire agli attaccanti di assumere il controllo di un nodo LND e spostarne i fondi.
Secondo l’avviso di sicurezza del progetto, la versione 2.4.2 installa LND versione 0.21.1 e rigenera automaticamente le credenziali macaroon sulle installazioni BTCPay standard. Ha consigliato agli operatori di verificare pagamenti non autorizzati, chiusure inattese dei canali, peer sconosciuti e discrepanze tra i loro registri e i bilanci onchain o Lightning.
BTCPay ha aggiunto che gli operatori che espongono LND tramite il proprio reverse proxy, servizio Tor, porta inoltrata o altri percorsi esterni a BTCPay devono ruotare le credenziali separatamente. Il progetto ha affermato che l’installazione dell’aggiornamento non chiude le vie di accesso gestite indipendentemente dall’operatore.
Almeno due operatori hanno riferito pubblicamente delle perdite. Nessuno dei due ha rivelato l’importo perso.
Magazine: Le 10 cose più strane mai tokenizzate... compresi i peti
Esclusione di responsabilità: il contenuto di questo articolo riflette esclusivamente l’opinione dell’autore e non rappresenta in alcun modo la piattaforma. Questo articolo non deve essere utilizzato come riferimento per prendere decisioni di investimento.
Ti potrebbe interessare anche
Gu Jingci: Nel trading veramente maturi, ciò che conta non è mai solo la tecnica.
Prima della riunione sui tassi d'interesse, Wall Street è rialzista sull'oro.
Prezzi delle criptovalute
Altro
