BTCPay Server-ის მომხმარებლებს განახლებისკენ მოუწოდებენ Bitcoin-ისა და Litecoin-ის ცხელი საფულეებიდან ქურდობის გამო

BTCPay Server-მა, თვითგანთავსებულმა ღია კოდის კრიპტოვალუტის გადახდების პროცესორმა, მომხმარებლებს უახლესი ვერსიის დაყენებისკენ მოუწოდა მას შემდეგ, რაც ძველ ვერსიებზე მომუშავე ინსტანსებზე ცხელი საფულეებიდან Bitcoin-ი და Litecoin-ი მოიპარეს. კომპანიის გამოძიებით დადგინდა, რომ თავდასხმები მიმართული იყო 2.4.1 ან უფრო ძველ ვერსიაზე მომუშავე სერვერებისკენ, თავდამსხმელებმა კი 2.4.2 ვერსიაში გამოსწორებული ხარვეზის ექსპლუატაციისთვის სხვა მეთოდი გამოიყენეს. დაზარალებულ ვერსიებზე მყოფ მომხმარებლებს ურჩევენ ახალ სერვერზე გადავიდნენ ახალი საფულით, თუნდაც ქურდობა არ შეამჩნიონ.

დაზარალებული ვერსიები და აღდგენა

თავდასხმების სამიზნე იყო სერვერები, რომლებზეც 2026 წლის 23 ივლისს გამოსული 2.4.1 ან უფრო ძველი ვერსია მუშაობდა. ხარვეზი 2026 წლის 7 აგვისტოს გამოსულ 2.4.2 ვერსიაში გამოსწორდა, თუმცა თავდამსხმელებმა მისი ექსპლუატაციისთვის სხვა მეთოდი გამოიყენეს. მომხმარებლებს, რომლებიც 2.4.1 ან უფრო ძველ ვერსიას იყენებენ, ურჩევენ ახალ სერვერზე გადასვლას ახალი საფულით, თუნდაც ქურდობა არ შეამჩნიონ. თუ თანხები მოიპარეს ან არასანქცირებულ წვდომას ეჭვობენ, მთელი მანქანა და მასზე შენახული ყველა საიდუმლო მონაცემი კომპრომეტირებულად უნდა ჩათვალონ და იგივე აღდგენის პროცედურები დაიცვან.

უახლესი გამოშვება და ინციდენტები

BTCPay Server-ის თქმით, უახლეს 2.4.7 გამოშვებაზე მომუშავე მომხმარებლებისგან ცხელი საფულეების დაცლის სანდო ცნობები არ მიიღეს. ეს ვერსია ასწორებს ერთ კრიტიკულ და რამდენიმე საშუალო სიმძიმის ხარვეზს, რომლებიც Anthropic-ის OSS სკანერით აღმოაჩინეს. უახლესი თავდასხმების ცნობები 2026 წლის 1 ნოემბრისთვის გაჩნდა, უცნობია კი, როდის დაიწყეს თავდამსხმელებმა ხარვეზის ექსპლუატაცია. BTCPay Server-მა გააზიარა ინციდენტებთან დაკავშირებული ორი საფულის მისამართი: Bitcoin-ის bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 და Litecoin-ის ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

აგვისტოს ხარვეზი და კონტექსტი

2026 წლის აგვისტოში BTCPay Server-მა გამოაცხადა, რომ თავდამსხმელებმა კრიტიკული ხარვეზი გამოიყენეს ზოგიერთი მომხმარებლისგან თანხების მოსაპარად. პრობლემა BTCPay Server-ის ყველა ვერსიას ეხება და 2.4.2 ვერსიაში გამოსწორდა. ის საშუალებას აძლევდა ავთენტიფიკაციის გარეშე მოქმედ დისტანციურ თავდამსხმელს მოეპოვებინა LND-ის, Lightning Network-ის იმპლემენტაციის, .macaroon ავტორიზაციის ფაილები; ამ მონაცემებით შესაძლებელი იყო LND კვანძის კონტროლი და თანხების გადაადგილება. განხილული თავდასხმები მხოლოდ .macaroon გაფართოების ფაილებს მიემართებოდა. გაურკვეველია, უახლესი თავდასხმები იმავე ხარვეზს უკავშირდება თუ არა.

სიფრთხილის ზომები და ჰოსტინგის პროვაიდერები

თუ ცხელი საფულე ყოველდღიური ოპერაციებისთვისაა საჭირო, სერვერზე მხოლოდ ამ ოპერაციებისთვის საჭირო თანხები უნდა ინახებოდეს, დანარჩენი კი იმ საფულეში გადაიტანონ, რომლის ხარჯვის გასაღებებიც სერვერის გარეთ ინახება. ჰოსტინგის პროვაიდერის მეშვეობით მუშაობისას ინსტანსი შეიძლება ავტომატურად გამორთულიყო ძველი ვერსიების ექსპლუატაციის თავიდან ასაცილებლად. ეს ემთხვევა კრიპტოვალუტის სფეროში უსაფრთხოების დარღვევებისა და ექსპლუატაციების სერიას, მათ შორის Binance-იდან 6,43 მილიარდი დოლარის რეკორდულ ქურდობას, რომელიც ჩრდილოეთ კორეასთან დაკავშირებულმა ჰაკერებმა ჩაიდინეს. იმავე დღეს Polymarket-მა ვაჭრობა მცირე ხნით შეაჩერა მას შემდეგ, რაც DebugBear-ის მიერ შემუშავებული პროგრამის კომპრომეტაციას მოჰყვა 2,65 მილიონი დოლარის ექსპლუატაცია. Trezor-მა ასევე გააფრთხილა, რომ მიიღო პასუხისმგებლიანი გამჟღავნების ანგარიში 2026 წლის აგვისტოში CryptoBilis-ისგან შეძენილ Trezor Safe 5 მოწყობილობაში სავარაუდო აპარატურული იმპლანტის შესახებ. შეფასებით, ეს მომარაგების ჯაჭვზე თავდასხმის ნაწილია, როცა მესამე მხარის რესელერების მეშვეობით გაყიდულ ზოგიერთ მოწყობილობაში ფიზიკურად ერევიან, რათა მსხვერპლის სიდ ფრაზა მოიპარონ და აქტივები გაიტანონ.

წყაროები: The Hacker News