“Tự dựng máy chủ nhận thanh toán an toàn hơn gửi tiền lên nền tảng” chỉ đúng khi trên máy chủ không lưu khóa riêng.
Sáng ngày 2 tháng 11 (giờ UTC+8), công cụ nhận thanh toán Bitcoin mã nguồn mở BTCPay Server đăng thông báo khẩn trên tài khoản chính thức: nhận được báo cáo rằng ví nóng trên máy chủ của một số đơn vị vận hành đã bị kẻ tấn công trái phép vét sạch. Tất cả các phiên bản hãy chạy ./btcpay-down.sh để tắt máy chủ trước, chờ kết quả điều tra. Nhà phát triển chủ chốt Nicolas Dorier sau đó bổ sung: máy chủ công khai chính thức chạy phiên bản 2.4.7 không bị tấn công; các báo cáo bị ảnh hưởng tập trung ở những phiên bản trước 2.4.2. Kẻ tấn công đã đăng nhập vào các phiên bản này bằng tài khoản quản trị viên; cách chúng đăng nhập vẫn đang được điều tra, nhưng có vẻ không phải do lỗ hổng mới. Nguyên văn lời ông là: đừng để trong ví nóng số tiền vượt quá mức bạn có thể chấp nhận mất.
Góc nhìn của kỹ sư:
· Ví nóng là khi khóa riêng được lưu ở dạng có thể sử dụng trên máy chủ kết nối mạng này, để máy chủ tự động thanh toán và hoàn tiền;
· Khi đó, tài khoản quản trị hệ thống và khóa riêng chẳng khác gì nhau: bề mặt tấn công chuyển từ “đánh cắp khóa riêng” thành “đăng nhập vào trang quản trị”; mật khẩu yếu, không bật 2FA và các lỗ hổng cũ trong phiên bản lỗi thời đều là rủi ro;
· Với chế độ chỉ nhận tiền, chỉ cấu hình xpub, máy chủ hoàn toàn không có khóa riêng; kể cả trang quản trị bị xâm nhập, kẻ tấn công cũng chỉ xem được sổ giao dịch chứ không thể vét tiền.
Năm điều dành cho đơn vị vận hành:
1）Nếu vẫn đang chạy phiên bản cũ, hãy tắt máy chủ trước, nâng cấp lên phiên bản mới nhất rồi mới khởi động lại;
2）Đổi mật khẩu quản trị viên, bật 2FA, kiểm tra nhật ký đăng nhập để tìm các phiên không nhận ra và tài khoản quản trị viên mới được thêm;
3）Nếu có thể chỉ dùng xpub để nhận tiền thì hãy chỉ dùng xpub, còn khóa riêng thì giữ trong ví phần cứng;
4）Nếu bắt buộc phải bật ví nóng, chỉ để trong đó số tiền mà mất cũng chấp nhận được, rồi chuyển về ví lạnh mỗi ngày;
5）Chờ báo cáo chính thức về nguyên nhân gốc rễ rồi hãy quyết định có bật lại ví nóng hay không.
Chìa khóa két sắt nhà tôi chẳng bao giờ treo ở quầy lễ tân; quầy chỉ phụ trách nhận bưu kiện và thư tình thôi 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
Sáng ngày 2 tháng 11 (giờ UTC+8), công cụ nhận thanh toán Bitcoin mã nguồn mở BTCPay Server đăng thông báo khẩn trên tài khoản chính thức: nhận được báo cáo rằng ví nóng trên máy chủ của một số đơn vị vận hành đã bị kẻ tấn công trái phép vét sạch. Tất cả các phiên bản hãy chạy ./btcpay-down.sh để tắt máy chủ trước, chờ kết quả điều tra. Nhà phát triển chủ chốt Nicolas Dorier sau đó bổ sung: máy chủ công khai chính thức chạy phiên bản 2.4.7 không bị tấn công; các báo cáo bị ảnh hưởng tập trung ở những phiên bản trước 2.4.2. Kẻ tấn công đã đăng nhập vào các phiên bản này bằng tài khoản quản trị viên; cách chúng đăng nhập vẫn đang được điều tra, nhưng có vẻ không phải do lỗ hổng mới. Nguyên văn lời ông là: đừng để trong ví nóng số tiền vượt quá mức bạn có thể chấp nhận mất.
Góc nhìn của kỹ sư:
· Ví nóng là khi khóa riêng được lưu ở dạng có thể sử dụng trên máy chủ kết nối mạng này, để máy chủ tự động thanh toán và hoàn tiền;
· Khi đó, tài khoản quản trị hệ thống và khóa riêng chẳng khác gì nhau: bề mặt tấn công chuyển từ “đánh cắp khóa riêng” thành “đăng nhập vào trang quản trị”; mật khẩu yếu, không bật 2FA và các lỗ hổng cũ trong phiên bản lỗi thời đều là rủi ro;
· Với chế độ chỉ nhận tiền, chỉ cấu hình xpub, máy chủ hoàn toàn không có khóa riêng; kể cả trang quản trị bị xâm nhập, kẻ tấn công cũng chỉ xem được sổ giao dịch chứ không thể vét tiền.
Năm điều dành cho đơn vị vận hành:
1）Nếu vẫn đang chạy phiên bản cũ, hãy tắt máy chủ trước, nâng cấp lên phiên bản mới nhất rồi mới khởi động lại;
2）Đổi mật khẩu quản trị viên, bật 2FA, kiểm tra nhật ký đăng nhập để tìm các phiên không nhận ra và tài khoản quản trị viên mới được thêm;
3）Nếu có thể chỉ dùng xpub để nhận tiền thì hãy chỉ dùng xpub, còn khóa riêng thì giữ trong ví phần cứng;
4）Nếu bắt buộc phải bật ví nóng, chỉ để trong đó số tiền mà mất cũng chấp nhận được, rồi chuyển về ví lạnh mỗi ngày;
5）Chờ báo cáo chính thức về nguyên nhân gốc rễ rồi hãy quyết định có bật lại ví nóng hay không.
Chìa khóa két sắt nhà tôi chẳng bao giờ treo ở quầy lễ tân; quầy chỉ phụ trách nhận bưu kiện và thư tình thôi 😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE