BTCPay hạn chế truy cập Lightning từ xa sau khi kẻ tấn công đánh cắp tiền

Chi tiết sự kiện

Foundation và Citadel21 báo cáo các node Lightning bị rút sạch, nhưng tổng số tiền bị đánh cắp và số lượng nhà vận hành bị ảnh hưởng vẫn chưa được biết.

BTCPay Server đã tạm thời hạn chế kết nối từ xa công khai đến các node Lightning Network chạy phần mềm Lightning Network Daemon (LND) sau khi kẻ tấn công khai thác một lỗ hổng nghiêm trọng để lấy thông tin xác thực và chuyển tiền.

BTCPay cho biết hạn chế này ngăn các ví bên ngoài như Zeus kết nối thông qua miền BTCPay Server hoặc địa chỉ Tor onion trên các triển khai Docker. BTCPay nói rằng thanh toán Lightning vẫn có thể tiếp tục và họ dự định khôi phục tùy chọn truy cập từ xa khi thấy an toàn.

Phiên bản 2.4.2 cài đặt LND phiên bản 0.21.1 và tự động tạo lại thông tin xác thực macaroon trên các cài đặt BTCPay tiêu chuẩn. Dự án khuyên các nhà vận hành kiểm tra các khoản thanh toán trái phép, đóng kênh bất ngờ, các peer không quen thuộc và sự khác biệt trong số dư onchain hoặc Lightning của họ.

Vụ vi phạm BTCPay là sự cố bảo mật mới nhất liên quan đến các sản phẩm Bitcoin được sử dụng rộng rãi, sau một lỗ hổng ví cứng Coldcard liên quan đến hơn 100 triệu đô la thiệt hại được xác nhận. Các sự cố riêng biệt ảnh hưởng đến phần mềm xung quanh Bitcoin chứ không phải giao thức cơ bản của mạng.

Cập nhật tự động xoay vòng thông tin xác thực Lightning

BTCPay cho biết lỗ hổng cho phép kẻ tấn công từ xa không xác thực lấy được các tệp thông tin xác thực "macaroon" dùng để kiểm soát LND, một triển khai của Lightning Network. Dự án nói rằng thông tin xác thực bị lộ có thể cho phép kẻ tấn công kiểm soát một node LND và chuyển tiền của nó.

Theo tư vấn bảo mật của dự án, phiên bản 2.4.2 cài đặt LND phiên bản 0.21.1 và tự động tạo lại thông tin xác thực macaroon trên các cài đặt BTCPay tiêu chuẩn. Nó khuyên các nhà vận hành kiểm tra các khoản thanh toán trái phép, đóng kênh bất ngờ, các peer không quen thuộc và sự khác biệt giữa hồ sơ của họ và số dư onchain hoặc Lightning.

Liên quan: Khai thác Coldcard đẩy thiệt hại tháng 7 lên 247 triệu đô la, tháng tồi tệ thứ hai năm 2026

BTCPay cũng nói rằng các nhà vận hành để lộ LND thông qua reverse proxy riêng, dịch vụ Tor, cổng chuyển tiếp, hoặc một tuyến đường khác ngoài BTCPay phải xoay vòng thông tin xác thực của họ một cách riêng biệt. Dự án nói rằng cài đặt bản cập nhật không đóng các tuyến truy cập do nhà vận hành quản lý độc lập.

Ít nhất hai nhà vận hành đã công khai báo cáo thiệt hại. CEO của Foundation, Zach Herbert, nói rằng node Lightning của công ty ví cứng đã bị rút sạch qua đêm. Sau đó ông làm rõ rằng ví nóng của họ không bị ảnh hưởng, trong khi các kênh Lightning của họ bị đóng và tiền bị quét sạch.

Ấn phẩm Bitcoin Citadel21 cũng báo cáo rằng node Lightning của họ đã bị quét sạch. Cả hai nhà vận hành không tiết lộ số tiền bị mất.

Tạp chí: 10 thứ kỳ lạ nhất từng được token hóa... bao gồm cả rắm

Đăng ký nhận tin tức crypto hàng ngày từ Cointelegraph

Thị trường đảo chiều khi Fed tạm dừng tăng lãi suất trước CPI: Năm điều cần biết về Bitcoin tuần này

Nhánh BIP-110 Bitcoin bị đình trệ sau hai khối khi khoảng cách ngày càng lớn

BIP-110 của Bitcoin bước vào giai đoạn tín hiệu bắt buộc với sự hỗ trợ của thợ đào dưới 3%

Thị trường đảo chiều khi Fed tạm dừng tăng lãi suất trước CPI: Năm điều cần biết về Bitcoin tuần này

Nhánh BIP-110 Bitcoin bị đình trệ sau hai khối khi khoảng cách ngày càng lớn

BIP-110 của Bitcoin bước vào giai đoạn tín hiệu bắt buộc với sự hỗ trợ của thợ đào dưới 3%

Strategy biến 1.690 BTC thành 108,6 triệu đô la mua lại STRC

Giá Bitcoin trượt xóa sạch lợi nhuận cuối tuần khi giá dầu tăng 5% do thất vọng về Hormuz

BIP-110 kết thúc trong im lặng, bỏ phiếu CLARITY bị hoãn: Hodler’s Digest, ngày 9 tháng 8

Bitdeer tăng sản lượng khai thác Bitcoin gần gấp năm lần trong quý 2

H100 trở thành kho bạc Bitcoin số 2 châu Âu sau thỏa thuận 2.455 BTC

Cointelegraph cam kết cung cấp báo chí độc lập, chất lượng cao trong các ngành crypto, blockchain, AI và fintech.

Tất cả tin tức, đánh giá và phân tích được sản xuất với sự độc lập và chính trực báo chí đầy đủ. Để biết thêm chi tiết về tiêu chuẩn và quy trình của chúng tôi, vui lòng đọc Chính sách Biên tập.

Các đồng coin liên quan

BTC

Nguồn

Cointelegraph RSS