O verdadeiro problema da BTCPay não era o código: eram as suas senhas padrão
Após o roubo de fundos de agosto, o BTCPay Server descobriu que o verdadeiro ponto fraco era uma senha compartilhada entre nós Lightning.
O BTCPay Server, o processador de pagamentos auto-hospedado mais usado do ecossistema Bitcoin, publicou no dia 8 de setembro passado a versão 2.4.4 do seu software. Ela chega um mês depois de uma vulnerabilidade crítica ter permitido que atacantes esvaziassem fundos de operadores ao roubar credenciais da rede de segunda camada (L2) da Bitcoin Lightning Network (LN).
A nova versão do BTCPay Server não se limita a corrigir essa brecha: ela muda de forma estrutural como o servidor armazena e protege suas senhas e chaves de acesso.
Em agosto, um atacante remoto e não autenticado explorou uma falha na Lightning Network e extraiu arquivos de credenciais chamados ".macaroon", equivalentes a uma chave-mestra do LND (Lightning Network Daemon, o software de referência para os nós da LN).
Com essas credenciais .macaroon, o atacante moveu fundos de vários operadores afetados. O BTCPay Server confirmou o roubo de fundos e corrigiu a falha original na versão 2.4.2, além de restringir temporariamente o acesso externo a essa interface, como informou a CriptoNoticias.
O jornalista conhecido no X como hodlonaut, fundador da revista cultural bitcoiner Citadel21, foi quem reportou um dos primeiros nós da LN esvaziados.
Por meio de um print do próprio nó, ele sugeriu que a drenagem teria sido de 174.245 satoshis (cerca de 132 dólares ao preço atual), correspondente a uma transação de saída não autorizada.
$BTC #news
Após o roubo de fundos de agosto, o BTCPay Server descobriu que o verdadeiro ponto fraco era uma senha compartilhada entre nós Lightning.
O BTCPay Server, o processador de pagamentos auto-hospedado mais usado do ecossistema Bitcoin, publicou no dia 8 de setembro passado a versão 2.4.4 do seu software. Ela chega um mês depois de uma vulnerabilidade crítica ter permitido que atacantes esvaziassem fundos de operadores ao roubar credenciais da rede de segunda camada (L2) da Bitcoin Lightning Network (LN).
A nova versão do BTCPay Server não se limita a corrigir essa brecha: ela muda de forma estrutural como o servidor armazena e protege suas senhas e chaves de acesso.
Em agosto, um atacante remoto e não autenticado explorou uma falha na Lightning Network e extraiu arquivos de credenciais chamados ".macaroon", equivalentes a uma chave-mestra do LND (Lightning Network Daemon, o software de referência para os nós da LN).
Com essas credenciais .macaroon, o atacante moveu fundos de vários operadores afetados. O BTCPay Server confirmou o roubo de fundos e corrigiu a falha original na versão 2.4.2, além de restringir temporariamente o acesso externo a essa interface, como informou a CriptoNoticias.
O jornalista conhecido no X como hodlonaut, fundador da revista cultural bitcoiner Citadel21, foi quem reportou um dos primeiros nós da LN esvaziados.
Por meio de um print do próprio nó, ele sugeriu que a drenagem teria sido de 174.245 satoshis (cerca de 132 dólares ao preço atual), correspondente a uma transação de saída não autorizada.
$BTC #news
