Kegagalan nyata BTCPay bukanlah kodenya: melainkan sandi defaultnya
Setelah pencurian dana pada bulan Agustus, BTCPay Server menemukan bahwa titik lemahnya yang sesungguhnya adalah sandi yang dibagikan antar-node Lightning.
BTCPay Server, prosesor pembayaran mandiri (self-hosted) yang paling banyak digunakan di ekosistem Bitcoin, merilis pada 8 September lalu versi 2.4.4 dari perangkat lunaknya. Ini datang sebulan setelah sebuah kerentanan kritis memungkinkan penyerang mengosongkan dana operator dengan mencuri kredensial jaringan lapisan kedua (L2) dari Bitcoin Lightning Network (LN).
Versi baru BTCPay Server tidak hanya menutup celah itu, tetapi juga mengubah secara mendasar cara server menyimpan dan melindungi sandi serta kunci aksesnya.
Pada bulan Agustus, seorang penyerang jarak jauh tanpa autentikasi mengeksploitasi celah di Lightning Network dan mengekstrak berkas kredensial bernama “.macaroon”, yang setara dengan kunci master milik LND (Lightning Network Daemon, perangkat lunak rujukan untuk node-node di LN).
Dengan kredensial .macaroon tersebut, penyerang memindahkan dana dari beberapa operator yang terdampak. BTCPay Server mengonfirmasi pencurian dana dan memperbaiki kerentanan awal pada versi 2.4.2, sekaligus membatasi secara sementara akses eksternal ke antarmuka itu, seperti yang dilaporkan CriptoNoticias.
Jurnalis yang dikenal di X sebagai hodlonaut, pendiri majalah budaya bitcoiner Citadel21, adalah pihak yang melaporkan salah satu node LN pertama yang dikuras.
Melalui tangkapan layar dari node miliknya sendiri, ia menyarankan bahwa pengurasan tersebut kemungkinan sebesar 174.245 satoshis (sekitar 132 dolar pada harga saat ini), yang sesuai dengan transaksi keluaran yang tidak sah.
$BTC #news
Setelah pencurian dana pada bulan Agustus, BTCPay Server menemukan bahwa titik lemahnya yang sesungguhnya adalah sandi yang dibagikan antar-node Lightning.
BTCPay Server, prosesor pembayaran mandiri (self-hosted) yang paling banyak digunakan di ekosistem Bitcoin, merilis pada 8 September lalu versi 2.4.4 dari perangkat lunaknya. Ini datang sebulan setelah sebuah kerentanan kritis memungkinkan penyerang mengosongkan dana operator dengan mencuri kredensial jaringan lapisan kedua (L2) dari Bitcoin Lightning Network (LN).
Versi baru BTCPay Server tidak hanya menutup celah itu, tetapi juga mengubah secara mendasar cara server menyimpan dan melindungi sandi serta kunci aksesnya.
Pada bulan Agustus, seorang penyerang jarak jauh tanpa autentikasi mengeksploitasi celah di Lightning Network dan mengekstrak berkas kredensial bernama “.macaroon”, yang setara dengan kunci master milik LND (Lightning Network Daemon, perangkat lunak rujukan untuk node-node di LN).
Dengan kredensial .macaroon tersebut, penyerang memindahkan dana dari beberapa operator yang terdampak. BTCPay Server mengonfirmasi pencurian dana dan memperbaiki kerentanan awal pada versi 2.4.2, sekaligus membatasi secara sementara akses eksternal ke antarmuka itu, seperti yang dilaporkan CriptoNoticias.
Jurnalis yang dikenal di X sebagai hodlonaut, pendiri majalah budaya bitcoiner Citadel21, adalah pihak yang melaporkan salah satu node LN pertama yang dikuras.
Melalui tangkapan layar dari node miliknya sendiri, ia menyarankan bahwa pengurasan tersebut kemungkinan sebesar 174.245 satoshis (sekitar 132 dolar pada harga saat ini), yang sesuai dengan transaksi keluaran yang tidak sah.
$BTC #news
