«استضافة خادم تحصيل المدفوعات بنفسك أكثر أمانًا من وضعه على منصة»؛ هذا صحيح فقط إذا لم تحتفظ بالمفاتيح الخاصة على الخادم.
صباح 2 نوفمبر (بتوقيت المنطقة الثامنة شرقًا)، نشر فريق أداة تحصيل البيتكوين مفتوحة المصدر BTCPay Server تنبيهًا عاجلًا: تلقوا بلاغات تفيد بأن محافظ ساخنة على خوادم بعض المشغّلين قد أُفرغت على يد مهاجمين غير مصرّح لهم. طلبوا من الجميع إيقاف جميع النسخ بتنفيذ ./btcpay-down.sh إلى حين ظهور نتائج التحقيق. وأضاف المطوّر الأساسي Nicolas Dorier لاحقًا أن الخادم العام الرسمي الذي يشغّل الإصدار 2.4.7 لم يتعرض للهجوم، وأن البلاغات عن الضحايا تتركز في الإصدارات الأقدم من 2.4.2؛ وقد سجّل المهاجمون الدخول إلى هذه النسخ بصلاحيات المسؤول، ولا يزالون يحققون في كيفية دخولهم، ولا يبدو الأمر ناتجًا عن ثغرة جديدة. ونصّ كلامه حرفيًا: لا تضع في المحفظة الساخنة مبلغًا يتجاوز ما يمكنك تحمّل خسارته.
من منظور هندسي:
· المحفظة الساخنة تعني أن المفتاح الخاص محفوظ بصيغة قابلة للاستخدام على هذا الخادم المتصل بالإنترنت، ليتمكن من إجراء المدفوعات واسترداد الأموال تلقائيًا؛
· في هذه الحالة، يصبح حساب المسؤول في لوحة التحكم والمفتاح الخاص شيئًا واحدًا؛ ويتحول نطاق الهجوم من «سرقة المفتاح الخاص» إلى «تسجيل الدخول إلى لوحة التحكم»، ويشمل ذلك كلمات المرور الضعيفة، وغياب المصادقة الثنائية، والثغرات القديمة في الإصدارات القديمة؛
· في وضع التحصيل فقط باستخدام xpub، لا يوجد أي مفتاح خاص على الخادم أصلًا؛ وحتى لو اختُرقت لوحة التحكم، فلن يستطيع المهاجم سوى الاطلاع على الحسابات، ولن يتمكن من سحب الأموال.
خمسة أمور على المشغّلين فعلها:
1) أوقفوا الخوادم التي لا تزال تعمل بإصدارات قديمة، ثم حدّثوها إلى أحدث إصدار قبل إعادة تشغيلها؛
2) غيّروا كلمات مرور المسؤولين، وفعّلوا المصادقة الثنائية، وراجعوا سجلات الدخول بحثًا عن جلسات غير مألوفة أو حسابات مسؤول جديدة؛
3) إذا كان بإمكانكم تحصيل المدفوعات باستخدام xpub فقط، فاستخدموه وحده، واتركوا المفاتيح الخاصة في محفظة الأجهزة؛
4) إذا كان لا بد من تفعيل محفظة ساخنة، فلا تضعوا فيها إلا مبلغًا يمكنكم تقبّل خسارته، وحوّلوا الأموال يوميًا إلى محفظة باردة؛
5) انتظروا صدور تقرير السبب الجذري الرسمي، ثم قرروا ما إذا كنتم ستعيدون فتح المحفظة الساخنة.
مفتاح خزنتي في المنزل لا أعلّقه أبدًا عند مكتب الاستقبال؛ فمهمّة موظف الاستقبال تقتصر على استلام الطرود ورسائل الحب 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
صباح 2 نوفمبر (بتوقيت المنطقة الثامنة شرقًا)، نشر فريق أداة تحصيل البيتكوين مفتوحة المصدر BTCPay Server تنبيهًا عاجلًا: تلقوا بلاغات تفيد بأن محافظ ساخنة على خوادم بعض المشغّلين قد أُفرغت على يد مهاجمين غير مصرّح لهم. طلبوا من الجميع إيقاف جميع النسخ بتنفيذ ./btcpay-down.sh إلى حين ظهور نتائج التحقيق. وأضاف المطوّر الأساسي Nicolas Dorier لاحقًا أن الخادم العام الرسمي الذي يشغّل الإصدار 2.4.7 لم يتعرض للهجوم، وأن البلاغات عن الضحايا تتركز في الإصدارات الأقدم من 2.4.2؛ وقد سجّل المهاجمون الدخول إلى هذه النسخ بصلاحيات المسؤول، ولا يزالون يحققون في كيفية دخولهم، ولا يبدو الأمر ناتجًا عن ثغرة جديدة. ونصّ كلامه حرفيًا: لا تضع في المحفظة الساخنة مبلغًا يتجاوز ما يمكنك تحمّل خسارته.
من منظور هندسي:
· المحفظة الساخنة تعني أن المفتاح الخاص محفوظ بصيغة قابلة للاستخدام على هذا الخادم المتصل بالإنترنت، ليتمكن من إجراء المدفوعات واسترداد الأموال تلقائيًا؛
· في هذه الحالة، يصبح حساب المسؤول في لوحة التحكم والمفتاح الخاص شيئًا واحدًا؛ ويتحول نطاق الهجوم من «سرقة المفتاح الخاص» إلى «تسجيل الدخول إلى لوحة التحكم»، ويشمل ذلك كلمات المرور الضعيفة، وغياب المصادقة الثنائية، والثغرات القديمة في الإصدارات القديمة؛
· في وضع التحصيل فقط باستخدام xpub، لا يوجد أي مفتاح خاص على الخادم أصلًا؛ وحتى لو اختُرقت لوحة التحكم، فلن يستطيع المهاجم سوى الاطلاع على الحسابات، ولن يتمكن من سحب الأموال.
خمسة أمور على المشغّلين فعلها:
1) أوقفوا الخوادم التي لا تزال تعمل بإصدارات قديمة، ثم حدّثوها إلى أحدث إصدار قبل إعادة تشغيلها؛
2) غيّروا كلمات مرور المسؤولين، وفعّلوا المصادقة الثنائية، وراجعوا سجلات الدخول بحثًا عن جلسات غير مألوفة أو حسابات مسؤول جديدة؛
3) إذا كان بإمكانكم تحصيل المدفوعات باستخدام xpub فقط، فاستخدموه وحده، واتركوا المفاتيح الخاصة في محفظة الأجهزة؛
4) إذا كان لا بد من تفعيل محفظة ساخنة، فلا تضعوا فيها إلا مبلغًا يمكنكم تقبّل خسارته، وحوّلوا الأموال يوميًا إلى محفظة باردة؛
5) انتظروا صدور تقرير السبب الجذري الرسمي، ثم قرروا ما إذا كنتم ستعيدون فتح المحفظة الساخنة.
مفتاح خزنتي في المنزل لا أعلّقه أبدًا عند مكتب الاستقبال؛ فمهمّة موظف الاستقبال تقتصر على استلام الطرود ورسائل الحب 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE