Hackeři útočí na bitcoinové peněženky. BTCPay Server vyzývá k okamžitému zásahu

Vývojáři platebního systému BTCPay Server upozornili na hackerské útoky, při kterých útočníci vybírají kryptoměny z peněženek provozovatelů. Incident se týká především zastaralých instalací. Dle nejnovějšího vyjádření projektu útočníci odcizili bitcoin i litecoin. Správci napadených serverů musí přijmout další bezpečnostní opatření.

BTCPay Server umožňuje obchodníkům přijímat platby v bitcoinu bez prostředníka. Každý provozovatel si software spravuje sám a může jej propojit s vlastní peněženkou. Právě tato nezávislost však znamená, že zabezpečení serveru závisí na jeho správci.

Útočníci využili starou bezpečnostní chybu

První hlášení o krádežích dorazila vývojářům 1. listopadu. Ještě ten večera vyzvali provozovatele, aby své instance preventivně vypnuli příkazem ./btcpay-down.sh. Někteří poskytovatelé hostingu včetně LunaNode následně servery odpojili.

Vyšetřování potvrdilo, že útočníci napadali verzi 2.4.1 a starší. Zneužili zranitelnost, kterou vývojáři opravili již 7. srpna ve verzi 2.4.2. Tentokrát však použili jiný postup než při srpnovém incidentu spojeném s Lightning Network.

Napadené byly takzvané hot peněženky. Ty uchovávají privátní klíče přímo na serveru připojeném k internetu. Útočník s přístupem k serveru proto může prostředky převést bez vědomí majitele.

Analytická společnost Bitquery přiřadila podezřelým převodům přibližně 1,63 milionu USD. BTCPay Server ale upozorňuje, že zatím nedokáže určit, které transakce skutečně souvisejí s útokem. Celková škoda ani počet obětí proto nejsou potvrzené.

Analýza sledovala převody na sítích Bitcoin a Litecoin do rána 2. listopadu. Podle Bitquery některé podezřelé transakce pokračovaly i po zveřejnění varování.

Samotná aktualizace nemusí stačit

Projekt uvádí, že u serverů aktualizovaných nejpozději do 1. listopadu na verzi 2.4.2 nebo novější nezaznamenal dopad těchto útoků. Provozovatelům starších instalací přesto doporučuje zásadnější postup než pouhou aktualizaci.

Mají převést zbývající kryptoměny do nové peněženky s novým seedem, vypnout původní server a vytvořit čistou instalaci. Změnit musí také případně kompromitovaná hesla a přístupové údaje.

Peněženky, které uchovávají privátní klíče mimo server, například hardwarové, útok podle vývojářů nezasáhl. BTCPay proto doporučuje na hot peněženkách držet pouze částky potřebné pro běžný provoz.