«Собственный сервер для приёма платежей безопаснее, чем размещение на платформе» — это верно, только если на сервере не хранится приватный ключ.
Утром 2 ноября (UTC+8) команда открытого инструмента для приёма биткоин-платежей BTCPay Server опубликовала срочное сообщение: поступили сведения, что горячие кошельки на серверах некоторых операторов опустошили неавторизованные злоумышленники. Всем владельцам экземпляров рекомендовали выполнить ./btcpay-down.sh и выключить серверы до окончания расследования. Позже ведущий разработчик Nicolas Dorier добавил: официальные публичные серверы под управлением версии 2.4.7 не пострадали; сообщения о пострадавших касаются версий до 2.4.2. Злоумышленники входили в эти экземпляры с правами администратора. Как им удалось проникнуть, всё ещё выясняют; похоже, дело не в новой уязвимости. Его слова: не храните в горячем кошельке больше денег, чем готовы потерять.
Взгляд инженера:
· Горячий кошелёк — это когда приватный ключ хранится в пригодном для использования виде на подключённом к сети сервере, чтобы тот мог автоматически отправлять платежи и возвращать деньги;
· В этом случае учётная запись администратора панели управления и приватный ключ — практически одно и то же. Вместо «кражи приватного ключа» вектор атаки становится «входом в панель управления»: сюда относятся слабые пароли, отсутствие 2FA и старые уязвимости в устаревших версиях;
· В режиме приёма платежей только с xpub на сервере вообще нет приватного ключа. Даже взломав панель управления, злоумышленники смогут лишь просматривать транзакции, но не смогут вывести деньги.
Пять рекомендаций операторам:
1）Если у вас ещё работает старая версия — сначала выключите сервер, обновитесь до последней версии и только потом включайте его;
2）Смените пароль администратора, включите 2FA и проверьте журналы входов: нет ли незнакомых сессий и новых администраторов;
3）Если для приёма платежей достаточно xpub, используйте только xpub, а приватный ключ храните в аппаратном кошельке;
4）Если горячий кошелёк необходим, держите в нём лишь ту сумму, потерю которой сможете принять, и каждый день переводите средства в холодный кошелёк;
5）Дождитесь официального отчёта о первопричине и лишь затем решайте, стоит ли снова включать горячий кошелёк.
Ключ от домашнего сейфа я никогда не оставляю на стойке администратора: там принимают только посылки и любовные письма 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
Утром 2 ноября (UTC+8) команда открытого инструмента для приёма биткоин-платежей BTCPay Server опубликовала срочное сообщение: поступили сведения, что горячие кошельки на серверах некоторых операторов опустошили неавторизованные злоумышленники. Всем владельцам экземпляров рекомендовали выполнить ./btcpay-down.sh и выключить серверы до окончания расследования. Позже ведущий разработчик Nicolas Dorier добавил: официальные публичные серверы под управлением версии 2.4.7 не пострадали; сообщения о пострадавших касаются версий до 2.4.2. Злоумышленники входили в эти экземпляры с правами администратора. Как им удалось проникнуть, всё ещё выясняют; похоже, дело не в новой уязвимости. Его слова: не храните в горячем кошельке больше денег, чем готовы потерять.
Взгляд инженера:
· Горячий кошелёк — это когда приватный ключ хранится в пригодном для использования виде на подключённом к сети сервере, чтобы тот мог автоматически отправлять платежи и возвращать деньги;
· В этом случае учётная запись администратора панели управления и приватный ключ — практически одно и то же. Вместо «кражи приватного ключа» вектор атаки становится «входом в панель управления»: сюда относятся слабые пароли, отсутствие 2FA и старые уязвимости в устаревших версиях;
· В режиме приёма платежей только с xpub на сервере вообще нет приватного ключа. Даже взломав панель управления, злоумышленники смогут лишь просматривать транзакции, но не смогут вывести деньги.
Пять рекомендаций операторам:
1）Если у вас ещё работает старая версия — сначала выключите сервер, обновитесь до последней версии и только потом включайте его;
2）Смените пароль администратора, включите 2FA и проверьте журналы входов: нет ли незнакомых сессий и новых администраторов;
3）Если для приёма платежей достаточно xpub, используйте только xpub, а приватный ключ храните в аппаратном кошельке;
4）Если горячий кошелёк необходим, держите в нём лишь ту сумму, потерю которой сможете принять, и каждый день переводите средства в холодный кошелёк;
5）Дождитесь официального отчёта о первопричине и лишь затем решайте, стоит ли снова включать горячий кошелёк.
Ключ от домашнего сейфа я никогда не оставляю на стойке администратора: там принимают только посылки и любовные письма 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE