BTCPay Server a confirmé que des attaquants ont exploité une faille critique pour voler des fonds aux utilisateurs utilisant une version antérieure à 2.4.2 et a exhorté les opérateurs à mettre à jour immédiatement.
Le processeur de paiement Bitcoin auto-hébergé a publié la version 2.4.2 pour combler la vulnérabilité. Le problème permettait à un attaquant distant non authentifié d'obtenir des fichiers d'identification .macaroon pour LND, une implémentation courante du Lightning Network.
Ce que les utilisateurs de BTCPay Server doivent faire
Les identifiants volés pourraient donner à un attaquant le contrôle total d'un nœud LND. De là, l'attaquant pourrait déplacer des fonds directement hors du nœud.
« Nous avons confirmé que des attaquants ont exploité cette vulnérabilité. Les utilisateurs ont été affectés et des fonds ont été volés. Nous ne publions pas encore de détails techniques car les opérateurs ont encore besoin de temps pour mettre à jour », a déclaré l'équipe.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles arrivent
Le risque s'applique spécifiquement aux déploiements utilisant LND. D'autres configurations Lightning et les utilisateurs non-Lightning ne sont pas exposés aux identifiants, bien que le projet les ait tout de même exhortés à mettre à jour. Les propres portefeuilles on-chain et chauds de BTCPay Server restent non affectés.
Les opérateurs qui utilisent LND devraient mettre à jour vers la version 2.4.2 et LND 0.21.1 via le tableau de bord de maintenance. La mise à jour régénère automatiquement les macaroons. Ceux qui ne peuvent pas appliquer le correctif immédiatement ont été invités à mettre leurs serveurs hors ligne.
Le projet a également conseillé aux utilisateurs de LND de vérifier l'activité du nœud pour des pairs inconnus, des fermetures de canaux inattendues et des paiements qu'ils n'ont pas effectués.
Un second coup dur pour la garde personnelle de Bitcoin
La divulgation fait suite à un autre incident de sécurité majeur. Galaxy Research a confirmé vendredi que 1 719 Bitcoin (BTC), d'une valeur d'environ 111 millions de dollars, ont été volés aux utilisateurs de Coldcard jusqu'à présent. La société s'attend à ce que les pertes totales dépassent 130 millions de dollars une fois les cas en cours vérifiés.
Aucun des incidents n'a touché le protocole Bitcoin lui-même. Les deux ont plutôt exposé des faiblesses dans les outils construits autour de celui-ci.
Abonnez-vous à notre chaîne YouTube pour regarder des leaders et des journalistes fournir des analyses d'experts
Source : BeInCrypto
