مستخدمو BTCPay Server مطالبون بالترقية بعد سرقة محافظ ساخنة لبيتكوين وليتكوين

حثّ BTCPay Server، وهو معالج مدفوعات للعملات المشفرة مفتوح المصدر يعمل ذاتياً، المستخدمين على تثبيت أحدث إصدار بعد تقارير عن سرقة بيتكوين وليتكوين من محافظ ساخنة على نسخ تعمل بإصدارات أقدم. وقالت الشركة إن تحقيقها وجد أن الهجمات استهدفت خوادم تعمل بالإصدار 2.4.1 أو أقدم، بينما استخدم المهاجمون طريقة مختلفة لاستغلال الثغرة التي تم إصلاحها في الإصدار 2.4.2. ونُصح المستخدمون على الإصدارات المتأثرة بالانتقال إلى خادم جديد مع محفظة جديدة، حتى لو لم يُلاحظ أي سرقة.

الإصدارات المتأثرة وخطوات الاسترداد

قال BTCPay Server إن الهجمات استهدفت خوادم تعمل بالإصدار 2.4.1، الذي أُصدر في 23 يوليو 2026، أو أقدم. وتم إصلاح الثغرة في الإصدار 2.4.2، الذي أُصدر في 7 أغسطس 2026، لكن المهاجمين استخدموا طريقة مختلفة لاستغلالها. ويُوصى المستخدمون الذين يعملون بالإصدار 2.4.1 أو أقدم بالانتقال إلى خادم جديد مع محفظة جديدة، حتى عندما لا يُلاحظ أي سرقة. وإذا سُرقت الأموال أو شُكّ في وصول غير مصرح به، فيجب اعتبار كامل الجهاز وجميع الأسرار المخزنة فيه مخترقة، مع اتباع إجراءات الاسترداد نفسها.

أحدث إصدار والحوادث المبلغ عنها

قال BTCPay Server إنه لم تُبلّغ تقارير موثوقة عن تفريغ محافظ ساخنة من مستخدمين يعملون بالإصدار الأحدث 2.4.7. ويعالج ذلك الإصدار ثغرة أمنية حرجة وعدة ثغرات متوسطة الشدة اكتُشفت عبر ماسح OSS من Anthropic. وبدأت تقارير أحدث الهجمات بالظهور حوالي 1 نوفمبر 2026، وما يزال غير معروف متى بدأ المهاجمون لأول مرة في استغلال الثغرة. كما شارك BTCPay Server عنوانين للمحفظة مرتبطين بالحوادث: عنوان بيتكوين، bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7، وعنوان لايتكوين، ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

ثغرة أغسطس والسياق المرتبط

في أغسطس 2026، أعلنت BTCPay Server أن ثغرة حرجة قد تم استغلالها من قبل مهاجمين لسرقة أموال من بعض المستخدمين. وتؤثر المشكلة على جميع إصدارات BTCPay Server وتم تصحيحها في الإصدار 2.4.2. ويمكن أن تتيح لمهاجم بعيد غير مصادق الحصول على ملفات اعتماد .macaroon لـ LND، وهو تنفيذ لـ Lightning Network، ويمكن استخدام تلك الاعتمادات للسيطرة على عقدة LND ونقل الأموال. استهدفت الهجمات التي تمت مراجعتها ملفات ذات امتداد .macaroon فقط. وقال BTCPay Server إنه غير واضح ما إذا كانت مجموعة الهجمات الأحدث مرتبطة بالثغرة نفسها.

الاحتياطات ومقدمو الاستضافة

حذر BTCPay Server من أنه إذا كانت هناك حاجة إلى محفظة ساخنة للعمليات اليومية، فيجب الاحتفاظ على الخادم بالأموال المطلوبة لهذه العمليات فقط، مع نقل الباقي إلى محفظة مفاتيح إنفاقها محفوظة خارج الخادم. وإذا تم تشغيل BTCPay Server عبر مقدم استضافة، فقد تم إيقاف النسخة تلقائياً لمنع استغلال الإصدارات الأقدم. ويتوافق هذا التطور مع سلسلة من الخروقات والاستغلالات الأمنية عبر قطاع العملات المشفرة، بما في ذلك سرقة قياسية بقيمة 6.43 مليار دولار من Binance من قبل جهات تهديد كورية شمالية. في ذلك اليوم نفسه، أوقفت عملاق أسواق التنبؤ Polymarket التداول مؤقتاً بعد أن تعرّضت لاستغلال بقيمة 2.65 مليون دولار إثر اختراق برنامج طوره DebugBear. كما حذّر صانع المحافظ المادية Trezor من تلقيه تقرير إفصاح مسؤول يزعم وجود زرع مادي في Trezor Safe 5 تم شراؤه من CryptoBilis في أغسطس 2026، وقُيّم على أنه جزء من هجوم سلسلة توريد متطور، حيث يتم العبث فعلياً ببعض الأجهزة المباعة عبر بائعي طرف ثالث لسرقة عبارة استرداد الضحية واستخدامها لتفريغ الأصول.

المصادر: The Hacker News