“Um servidor próprio para receber pagamentos é mais seguro do que usar uma plataforma” — isso só é verdade se você não guardar as chaves privadas no servidor.
Na manhã de 2 de novembro (UTC+8), a equipe oficial do BTCPay Server, ferramenta de código aberto para receber pagamentos em Bitcoin, publicou um alerta urgente: recebeu relatos de que carteiras quentes em servidores de alguns operadores foram esvaziadas por invasores não autorizados. Todos os usuários deveriam executar ./btcpay-down.sh para desligar as instâncias e aguardar os resultados da investigação. O desenvolvedor principal Nicolas Dorier acrescentou em seguida: os servidores públicos oficiais, que executam a versão 2.4.7, não foram atacados; os relatos de vítimas se concentram em versões anteriores à 2.4.2. Os invasores entraram nessas instâncias como administradores; ainda estão investigando como conseguiram acesso, mas não parece se tratar de uma nova vulnerabilidade. Nas palavras dele: não deixe na carteira quente mais dinheiro do que você pode se dar ao luxo de perder.
Do ponto de vista técnico:
· Uma carteira quente é aquela cujas chaves privadas ficam em formato utilizável nesse servidor conectado à internet, para permitir pagamentos e reembolsos automáticos;
· Nesse caso, a conta de administrador do painel e as chaves privadas são a mesma coisa: a superfície de ataque deixa de ser “roubar as chaves privadas” e passa a ser “entrar no painel”. Senhas fracas, falta de 2FA e vulnerabilidades antigas em versões desatualizadas entram nessa conta;
· No modo de recebimento com apenas xpub, não há chaves privadas no servidor. Mesmo que o painel seja comprometido, o invasor só pode consultar o saldo; não consegue levar o dinheiro.
Cinco recomendações para operadores:
1) Quem ainda estiver usando uma versão antiga deve desligar o servidor e atualizá-lo para a versão mais recente antes de ligá-lo novamente;
2) Troque a senha de administrador, ative a 2FA e verifique nos registros de acesso se há sessões desconhecidas ou novos administradores;
3) Se puder receber pagamentos usando apenas xpub, faça isso e mantenha as chaves privadas em uma carteira de hardware;
4) Se for indispensável ativar uma carteira quente, deixe nela apenas um valor que você aceitaria perder e transfira os fundos diariamente para uma carteira fria;
5) Aguarde o relatório oficial sobre a causa-raiz antes de decidir se deve reativar a carteira quente.
As chaves do cofre lá de casa nunca ficam penduradas na recepção; a recepção só cuida de receber encomendas e cartas de amor 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
Na manhã de 2 de novembro (UTC+8), a equipe oficial do BTCPay Server, ferramenta de código aberto para receber pagamentos em Bitcoin, publicou um alerta urgente: recebeu relatos de que carteiras quentes em servidores de alguns operadores foram esvaziadas por invasores não autorizados. Todos os usuários deveriam executar ./btcpay-down.sh para desligar as instâncias e aguardar os resultados da investigação. O desenvolvedor principal Nicolas Dorier acrescentou em seguida: os servidores públicos oficiais, que executam a versão 2.4.7, não foram atacados; os relatos de vítimas se concentram em versões anteriores à 2.4.2. Os invasores entraram nessas instâncias como administradores; ainda estão investigando como conseguiram acesso, mas não parece se tratar de uma nova vulnerabilidade. Nas palavras dele: não deixe na carteira quente mais dinheiro do que você pode se dar ao luxo de perder.
Do ponto de vista técnico:
· Uma carteira quente é aquela cujas chaves privadas ficam em formato utilizável nesse servidor conectado à internet, para permitir pagamentos e reembolsos automáticos;
· Nesse caso, a conta de administrador do painel e as chaves privadas são a mesma coisa: a superfície de ataque deixa de ser “roubar as chaves privadas” e passa a ser “entrar no painel”. Senhas fracas, falta de 2FA e vulnerabilidades antigas em versões desatualizadas entram nessa conta;
· No modo de recebimento com apenas xpub, não há chaves privadas no servidor. Mesmo que o painel seja comprometido, o invasor só pode consultar o saldo; não consegue levar o dinheiro.
Cinco recomendações para operadores:
1) Quem ainda estiver usando uma versão antiga deve desligar o servidor e atualizá-lo para a versão mais recente antes de ligá-lo novamente;
2) Troque a senha de administrador, ative a 2FA e verifique nos registros de acesso se há sessões desconhecidas ou novos administradores;
3) Se puder receber pagamentos usando apenas xpub, faça isso e mantenha as chaves privadas em uma carteira de hardware;
4) Se for indispensável ativar uma carteira quente, deixe nela apenas um valor que você aceitaria perder e transfira os fundos diariamente para uma carteira fria;
5) Aguarde o relatório oficial sobre a causa-raiz antes de decidir se deve reativar a carteira quente.
As chaves do cofre lá de casa nunca ficam penduradas na recepção; a recepção só cuida de receber encomendas e cartas de amor 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE