«Un servidor propio para recibir pagos es más seguro que usar una plataforma» solo es cierto si no guardas las claves privadas en el servidor.
La mañana del 2 de noviembre (UTC+8), el equipo oficial de BTCPay Server, una herramienta de código abierto para recibir pagos en bitcoin, publicó un aviso urgente: habían recibido informes de que atacantes no autorizados habían vaciado los monederos calientes de los servidores de algunos operadores. Pidieron que todas las instancias ejecutaran primero ./btcpay-down.sh para apagarse y que esperaran a los resultados de la investigación. Poco después, el desarrollador principal Nicolas Dorier aclaró que los servidores públicos oficiales que ejecutaban la versión 2.4.7 no habían sido atacados y que los informes de víctimas se concentraban en versiones anteriores a la 2.4.2. Los atacantes habían iniciado sesión en esas instancias como administradores; todavía investigan cómo lograron entrar y, por lo que parece, no se trata de una vulnerabilidad nueva. Sus palabras exactas fueron: no guardes en el monedero caliente más dinero del que puedas permitirte perder.
Desde la perspectiva de un ingeniero:
· Un monedero caliente significa que las claves privadas están guardadas en un formato utilizable en ese servidor conectado a Internet, para que pueda realizar pagos y reembolsos automáticamente;
· En ese caso, la cuenta de administrador del panel y las claves privadas vienen a ser lo mismo: la superficie de ataque pasa de «robar las claves privadas» a «iniciar sesión en el panel». Las contraseñas débiles, la falta de 2FA y las vulnerabilidades antiguas de versiones obsoletas cuentan;
· En el modo de solo recepción, configurado únicamente con una xpub, no hay claves privadas en el servidor. Aunque alguien comprometa el panel, solo podrá consultar las transacciones, pero no llevarse el dinero.
Cinco recomendaciones para operadores:
1) Si sigues usando una versión antigua, apaga el servidor y actualízalo a la última versión antes de volver a encenderlo;
2) Cambia la contraseña de administrador, activa 2FA y revisa los registros de inicio de sesión en busca de sesiones desconocidas y administradores nuevos;
3) Si puedes recibir pagos usando solo una xpub, hazlo así y guarda las claves privadas en una cartera de hardware;
4) Si tienes que usar un monedero caliente, guarda solo una cantidad que estés dispuesto a perder y transfiérela a diario a un monedero frío;
5) Espera a que el equipo oficial publique el informe sobre la causa raíz antes de decidir si volver a activar el monedero caliente.
En mi casa nunca dejo la llave de la caja fuerte colgada en recepción; allí solo se encargan de recibir paquetes y cartas de amor 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
La mañana del 2 de noviembre (UTC+8), el equipo oficial de BTCPay Server, una herramienta de código abierto para recibir pagos en bitcoin, publicó un aviso urgente: habían recibido informes de que atacantes no autorizados habían vaciado los monederos calientes de los servidores de algunos operadores. Pidieron que todas las instancias ejecutaran primero ./btcpay-down.sh para apagarse y que esperaran a los resultados de la investigación. Poco después, el desarrollador principal Nicolas Dorier aclaró que los servidores públicos oficiales que ejecutaban la versión 2.4.7 no habían sido atacados y que los informes de víctimas se concentraban en versiones anteriores a la 2.4.2. Los atacantes habían iniciado sesión en esas instancias como administradores; todavía investigan cómo lograron entrar y, por lo que parece, no se trata de una vulnerabilidad nueva. Sus palabras exactas fueron: no guardes en el monedero caliente más dinero del que puedas permitirte perder.
Desde la perspectiva de un ingeniero:
· Un monedero caliente significa que las claves privadas están guardadas en un formato utilizable en ese servidor conectado a Internet, para que pueda realizar pagos y reembolsos automáticamente;
· En ese caso, la cuenta de administrador del panel y las claves privadas vienen a ser lo mismo: la superficie de ataque pasa de «robar las claves privadas» a «iniciar sesión en el panel». Las contraseñas débiles, la falta de 2FA y las vulnerabilidades antiguas de versiones obsoletas cuentan;
· En el modo de solo recepción, configurado únicamente con una xpub, no hay claves privadas en el servidor. Aunque alguien comprometa el panel, solo podrá consultar las transacciones, pero no llevarse el dinero.
Cinco recomendaciones para operadores:
1) Si sigues usando una versión antigua, apaga el servidor y actualízalo a la última versión antes de volver a encenderlo;
2) Cambia la contraseña de administrador, activa 2FA y revisa los registros de inicio de sesión en busca de sesiones desconocidas y administradores nuevos;
3) Si puedes recibir pagos usando solo una xpub, hazlo así y guarda las claves privadas en una cartera de hardware;
4) Si tienes que usar un monedero caliente, guarda solo una cantidad que estés dispuesto a perder y transfiérela a diario a un monedero frío;
5) Espera a que el equipo oficial publique el informe sobre la causa raíz antes de decidir si volver a activar el monedero caliente.
En mi casa nunca dejo la llave de la caja fuerte colgada en recepción; allí solo se encargan de recibir paquetes y cartas de amor 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE