Из-за истории с BTCPay уже начали кричать: «Очередная уязвимость, BTC упадёт до 50 тысяч». Брат, сначала разберись, что именно взломали.
Официально сказали только одно: из горячих кошельков на нескольких самостоятельно развёрнутых экземплярах BTCPay несанкционированно вывели средства. Всем операторам велели немедленно выполнить ./btcpay-down.sh и выключить серверы, пока идёт расследование. Сумму потерь не назвали, причину не указали, версии, которых коснулась проблема, не уточнили, патча нет.
Главное здесь — слова «горячий кошелёк». Горячий кошелёк BTCPay — это когда сид-фраза хранится на сервере, который круглосуточно подключён к сети, чтобы он мог сам подписывать транзакции. Получив административный доступ к этой машине, можно распоряжаться средствами. У торговцев, использующих только xpub в режиме watch-only, на сервере вообще нет приватных ключей, которыми можно потратить средства. Также сообщили, что внешние кошельки вроде BTCPay Lite не затронуты.
Так что проблема не в биткоине, а в том, что кучка мелких торговцев хранит деньги из кассы как в сейфе. «Самостоятельное хранение» не означает безопасность: держать приватный ключ на общедоступном сервере — почти то же самое, что оставить кошелёк в интернет-кафе.
Тот, кто использует проблемы с платёжным инструментом, чтобы кричать, что BTC упадёт вдвое, либо ничего не понимает, либо пытается заставить тебя продать в панике. Если принимаешь платежи через BTCPay: сначала выключи сервер, переведи деньги на холодный кошелёк, а впредь принимай платежи через watch-only, оставляя в горячем кошельке только сумму на сдачу.
#BTCPay #Безопасность
Официально сказали только одно: из горячих кошельков на нескольких самостоятельно развёрнутых экземплярах BTCPay несанкционированно вывели средства. Всем операторам велели немедленно выполнить ./btcpay-down.sh и выключить серверы, пока идёт расследование. Сумму потерь не назвали, причину не указали, версии, которых коснулась проблема, не уточнили, патча нет.
Главное здесь — слова «горячий кошелёк». Горячий кошелёк BTCPay — это когда сид-фраза хранится на сервере, который круглосуточно подключён к сети, чтобы он мог сам подписывать транзакции. Получив административный доступ к этой машине, можно распоряжаться средствами. У торговцев, использующих только xpub в режиме watch-only, на сервере вообще нет приватных ключей, которыми можно потратить средства. Также сообщили, что внешние кошельки вроде BTCPay Lite не затронуты.
Так что проблема не в биткоине, а в том, что кучка мелких торговцев хранит деньги из кассы как в сейфе. «Самостоятельное хранение» не означает безопасность: держать приватный ключ на общедоступном сервере — почти то же самое, что оставить кошелёк в интернет-кафе.
Тот, кто использует проблемы с платёжным инструментом, чтобы кричать, что BTC упадёт вдвое, либо ничего не понимает, либо пытается заставить тебя продать в панике. Если принимаешь платежи через BTCPay: сначала выключи сервер, переведи деньги на холодный кошелёк, а впредь принимай платежи через watch-only, оставляя в горячем кошельке только сумму на сдачу.
#BTCPay #Безопасность