"Server penerimaan pembayaran yang dibangun sendiri lebih aman daripada menitipkannya di platform" hanya benar jika server tidak menyimpan private key.
Pagi 2 November (waktu UTC+8), alat penerimaan pembayaran Bitcoin sumber terbuka BTCPay Server mengeluarkan pengumuman darurat: mereka menerima laporan bahwa hot wallet di server beberapa operator telah dikuras oleh penyerang tanpa izin. Semua instance diminta menjalankan ./btcpay-down.sh untuk mematikan server, lalu menunggu hasil penyelidikan. Pengembang inti Nicolas Dorier kemudian menambahkan: server publik resmi yang menjalankan versi 2.4.7 tidak diserang; laporan korban terkonsentrasi pada versi sebelum 2.4.2. Penyerang masuk ke instance tersebut sebagai administrator. Cara mereka bisa masuk masih diselidiki, tetapi tampaknya bukan karena kerentanan baru. Pesan persisnya: jangan menyimpan di hot wallet uang melebihi jumlah yang sanggup Anda tanggung jika hilang.
Dari sudut pandang teknisi:
· Hot wallet berarti private key disimpan dalam bentuk yang dapat digunakan di server yang terhubung ke internet ini, agar pembayaran dan pengembalian dana bisa dilakukan secara otomatis;
· Dalam situasi ini, akun administrator backend dan private key pada dasarnya sama saja. Permukaan serangan berubah dari "mencuri private key" menjadi "masuk ke backend"; kata sandi lemah, tidak mengaktifkan 2FA, dan celah lama di versi usang semuanya termasuk risikonya;
· Dalam mode hanya menerima pembayaran dengan xpub, server sama sekali tidak memiliki private key. Sekalipun backend diretas, penyerang hanya bisa melihat transaksi, bukan menguras uang.
Lima langkah untuk operator:
1) Jika masih menjalankan versi lama, matikan dulu, lalu perbarui ke versi terbaru sebelum menyalakannya kembali;
2) Ganti kata sandi administrator, aktifkan 2FA, dan periksa riwayat login untuk mencari sesi yang tidak dikenal serta akun administrator baru;
3) Jika penerimaan pembayaran bisa dilakukan hanya dengan xpub, gunakan xpub saja dan simpan private key di hardware wallet;
4) Jika hot wallet memang harus diaktifkan, simpan hanya sejumlah uang yang rela Anda hilangkan, lalu pindahkan dananya ke cold wallet setiap hari;
5) Tunggu laporan resmi tentang akar masalahnya, baru putuskan apakah hot wallet akan diaktifkan kembali.
Kunci brankas rumah saya tidak pernah digantung di meja depan. Meja depan hanya bertugas menerima paket dan surat cinta 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
Pagi 2 November (waktu UTC+8), alat penerimaan pembayaran Bitcoin sumber terbuka BTCPay Server mengeluarkan pengumuman darurat: mereka menerima laporan bahwa hot wallet di server beberapa operator telah dikuras oleh penyerang tanpa izin. Semua instance diminta menjalankan ./btcpay-down.sh untuk mematikan server, lalu menunggu hasil penyelidikan. Pengembang inti Nicolas Dorier kemudian menambahkan: server publik resmi yang menjalankan versi 2.4.7 tidak diserang; laporan korban terkonsentrasi pada versi sebelum 2.4.2. Penyerang masuk ke instance tersebut sebagai administrator. Cara mereka bisa masuk masih diselidiki, tetapi tampaknya bukan karena kerentanan baru. Pesan persisnya: jangan menyimpan di hot wallet uang melebihi jumlah yang sanggup Anda tanggung jika hilang.
Dari sudut pandang teknisi:
· Hot wallet berarti private key disimpan dalam bentuk yang dapat digunakan di server yang terhubung ke internet ini, agar pembayaran dan pengembalian dana bisa dilakukan secara otomatis;
· Dalam situasi ini, akun administrator backend dan private key pada dasarnya sama saja. Permukaan serangan berubah dari "mencuri private key" menjadi "masuk ke backend"; kata sandi lemah, tidak mengaktifkan 2FA, dan celah lama di versi usang semuanya termasuk risikonya;
· Dalam mode hanya menerima pembayaran dengan xpub, server sama sekali tidak memiliki private key. Sekalipun backend diretas, penyerang hanya bisa melihat transaksi, bukan menguras uang.
Lima langkah untuk operator:
1) Jika masih menjalankan versi lama, matikan dulu, lalu perbarui ke versi terbaru sebelum menyalakannya kembali;
2) Ganti kata sandi administrator, aktifkan 2FA, dan periksa riwayat login untuk mencari sesi yang tidak dikenal serta akun administrator baru;
3) Jika penerimaan pembayaran bisa dilakukan hanya dengan xpub, gunakan xpub saja dan simpan private key di hardware wallet;
4) Jika hot wallet memang harus diaktifkan, simpan hanya sejumlah uang yang rela Anda hilangkan, lalu pindahkan dananya ke cold wallet setiap hari;
5) Tunggu laporan resmi tentang akar masalahnya, baru putuskan apakah hot wallet akan diaktifkan kembali.
Kunci brankas rumah saya tidak pernah digantung di meja depan. Meja depan hanya bertugas menerima paket dan surat cinta 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE