BTCPay Server призвал отключить серверы: у продавцов опустошают горячие биткоин-кошельки

Команда BTCPay Server, бесплатного сервиса с открытым кодом для приёма биткоина, в ночь на 2 ноября по московскому времени попросила владельцев серверов срочно их отключить. Причина — сообщения о том, что злоумышленники выводят монеты с горячих кошельков на серверах продавцов. Один из ключевых разработчиков проекта написал прямо: «Не учебная тревога: выключите BTCPay Server, если у вас горячий кошелёк».

Позже картина немного прояснилась: по данным команды, атака нацелена на версии 2.4.1 и старше, а на актуальной 2.4.7 достоверных сообщений о кражах нет. Сумма ущерба и число пострадавших серверов до сих пор не раскрыты, а способ, которым нападавшие получали доступ, публично не описан.

Что произошло

BTCPay Server — это не биржа и не единый платёжный провайдер. Каждый магазин или сервис разворачивает программу на собственном сервере, поэтому разработчики не могут остановить систему централизованно и вынуждены обращаться к каждому владельцу. Первое предупреждение вышло примерно в 22:25 UTC 1 ноября, в нём операторов просили остановить сервер специальной командой до завершения расследования.

Под ударом оказались горячие кошельки — те, у которых сид-фраза хранится на подключённом к интернету сервере, чтобы он мог отправлять монеты без отдельного подтверждения. В документации BTCPay эта функция и так помечена как опасная.

Что известно о версиях и способе атаки

Хронология заявлений выглядит так:

• Примерно через два часа после первого сигнала основатель проекта Николя Дорье сообщил, что инциденты, судя по всему, касаются версий старше 2.4.2, а нападавший входил на такие серверы как администратор. Как он получил этот доступ, команда на тот момент не знала.
• Собственные публичные серверы проекта работают на версии 2.4.7, и, по словам Дорье, их не атаковали.
• Ещё примерно через 3,5 часа команда заявила, что нашла вектор атаки на версии 2.4.1 и старше, и попросила пострадавших прислать детали и логи службе безопасности.

Остаются открытые вопросы. Команда не раскрыла сам вектор и не уточнила, объясняет ли он вход под администратором. По данным Unchained, на утро понедельника по времени США официального отчёта об инциденте в блоге и на GitHub не было, а отменена ли просьба держать серверы выключенными, неясно. Часть хостинг-провайдеров, включая LunaNode, сама остановила такие серверы из предосторожности, а сервис Coincards отключил свою установку.

Что было раньше и что дальше

Для проекта это второй серьёзный инцидент за несколько месяцев. В августе BTCPay подтвердил кражу через уязвимость в версиях до 2.4.2: посторонний мог получить файлы доступа к узлу Lightning (LND) и выводить средства. Тогда разработчики заявляли, что обычные ончейн-кошельки не затронуты. Связаны ли два случая, пока не установлено.

Версия 2.4.7 вышла 29 октября и закрыла 85 проблем, найденных при автоматическом сканировании открытого кода: одну критическую, 13 высокого уровня, 52 среднего и 19 низкого. Связь этого обновления с нынешними кражами не подтверждена.

Обновление на независимых серверах само не устанавливается: каждый владелец должен сделать его вручную. Поэтому уязвимые копии могут оставаться в сети ещё долго. Операторам советуют обновляться до 2.4.7, держать на горячем кошельке минимальный остаток, а лишнее выводить в холодное хранилище. Сообщений о том, что пострадали покупатели, в доступных источниках нет: речь идёт о средствах на кошельках серверов продавцов.