BTCPay Server-ի օգտատերերին կոչ են անում թարմացնել Bitcoin-ի և Litecoin-ի տաք դրամապանակների գողությունից հետո

BTCPay Server-ը՝ ինքնուրույն հյուրընկալվող, բաց կոդով կրիպտոարժույթային վճարային մշակիչ, օգտատերերին կոչ է արել տեղադրել վերջին տարբերակը՝ հին տարբերակներով աշխատող օրինակներում Bitcoin-ի և Litecoin-ի տաք դրամապանակներից գողությունների հաղորդումներից հետո։ Ընկերությունը հայտնել է, որ հետաքննությունը ցույց է տվել՝ հարձակումները թիրախավորել են 2.4.1 կամ ավելի վաղ տարբերակներով աշխատող սերվերները, իսկ հարձակվողները 2.4.2 տարբերակում շտկված խոցելիությունը շահագործել են այլ եղանակով։ Խոցելի տարբերակների օգտատերերին խորհուրդ է տրվում տեղափոխվել նոր սերվեր՝ նոր դրամապանակով, նույնիսկ եթե գողություն չի նկատվել։

Խոցելի տարբերակները և վերականգնման քայլերը

BTCPay Server-ը հայտնել է, որ հարձակումները թիրախավորել են 23 հուլիսի 2026 թվականին թողարկված 2.4.1 կամ ավելի վաղ տարբերակներով աշխատող սերվերները։ Խոցելիությունը շտկվել է 7 օգոստոսի 2026 թվականին թողարկված 2.4.2 տարբերակում, սակայն հարձակվողները այն շահագործել են այլ եղանակով։ 2.4.1 կամ ավելի վաղ տարբերակներ օգտագործող օգտատերերին խորհուրդ է տրվում տեղափոխվել նոր սերվեր՝ նոր դրամապանակով, նույնիսկ եթե գողություն չի նկատվել։ Եթե միջոցներ են գողացվել կամ կասկածվում է չթույլատրված մուտք, ամբողջ սարքն ու դրա գաղտնիքները պետք է համարվեն վտանգված, և կիրառվեն նույն վերականգնման ընթացակարգերը։

Վերջին թողարկումը և հաղորդված դեպքերը

BTCPay Server-ը հայտնել է, որ վերջին 2.4.7 թողարկումը օգտագործող օգտատերերից տաք դրամապանակների դատարկման վստահելի հաղորդումներ չեն ստացվել։ Այդ տարբերակը շտկում է մեկ կրիտիկական և մի քանի միջին լրջության անվտանգության խոցելիություններ, որոնք հայտնաբերվել են Anthropic-ի OSS սկաների միջոցով։ Վերջին հարձակումների մասին հաղորդումները սկսել են հայտնվել 2026 թվականի նոյեմբերի 1-ի շուրջ, և մնում է անհայտ, թե երբ են հարձակվողները սկսել շահագործել խոցելիությունը։ BTCPay Server-ը նաև կիսվել է դեպքերի հետ կապված երկու դրամապանակի հասցեներով՝ Bitcoin-ի հասցե՝ bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 և Litecoin-ի հասցե՝ ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee։

Օգոստոսի խոցելիությունը և հարակից համատեքստը

2026 թվականի օգոստոսին BTCPay Server-ը հայտնել է, որ հարձակվողները շահագործել են կրիտիկական խոցելիությունը՝ որոշ օգտատերերից միջոցներ գողանալու համար։ Խնդիրը վերաբերում է BTCPay Server-ի բոլոր տարբերակներին և շտկվել է 2.4.2 տարբերակում։ Այն կարող է թույլ տալ չնույնականացված հեռակա հարձակվողին ստանալ .macaroon հավատարմագրային ֆայլեր LND-ի համար, որը Lightning Network-ի իրագործում է, և այդ հավատարմագրերը կարող են օգտագործվել LND հանգույցի վերահսկողությունը ստանալու և միջոցները տեղափոխելու համար։ Վերանայված հարձակումները թիրախավորել են միայն .macaroon ընդլայնմամբ ֆայլերը։ BTCPay Server-ը հայտնել է, որ անհայտ է՝ վերջին հարձակումները կապված են նույն խոցելիության հետ, թե ոչ։

Զգուշացումներ և հոսթինգ մատակարարներ

BTCPay Server-ը զգուշացրել է, որ եթե տաք դրամապանակը անհրաժեշտ է ամենօրյա գործառնությունների համար, սերվերի վրա պետք է պահվեն միայն այդ գործառնությունների համար անհրաժեշտ միջոցները, իսկ մնացածը տեղափոխվի դրամապանակ, որի ծախսման բանալիները պահվում են սերվերից դուրս։ Եթե BTCPay Server-ը գործարկվում է հոսթինգ մատակարարի միջոցով, օրինակը կարող է ավտոմատ կերպով անջատված լինել՝ հին տարբերակները շահագործումից պաշտպանելու համար։ Այս զարգացումը համընկնում է կրիպտոարժույթների ոլորտում անվտանգության խախտումների շարքի հետ, այդ թվում Հյուսիսային Կորեայի սպառնալիքի գործողների կողմից Binance-ից 6.43 միլիարդ դոլարի ռեկորդային գողության հետ։ Այդ նույն օրը կանխատեսման շուկայի հսկա Polymarket-ը կարճ ժամանակով դադարեցրել է առևտուրը՝ 2.65 միլիոն դոլարի շահագործման հարվածից հետո, որը հետևել է DebugBear-ի ծրագրային ապահովման փոխզիջմանը։ Ապարատային դրամապանակների արտադրող Trezor-ը նաև զգուշացրել է պատասխանատու բացահայտման հաղորդման մասին, որը պնդում է 2026 թվականի օգոստոսին CryptoBilis-ից գնված Trezor Safe 5-ում ապարատային իմպլանտի առկայությունը և գնահատվել է որպես բարդ մատակարարման շղթայի հարձակման մաս, որում երրորդ կողմի վերավաճառողների միջոցով վաճառված որոշ սարքեր ֆիզիկապես են փոփոխվում՝ զոհի seed phrase-ը գողանալու և ակտիվները դատարկելու համար։

Աղբյուրներ՝ The Hacker News