اكتسب المهاجمون وصولًا كمسؤول إلى حالات قديمة من خادم BTCPay Server وقاموا بتفريغ محافظهم الساخنة، وتشير الأدلة إلى عيوب سبقت تصحيح أغسطس.
الخسارة تقع على المشغلين الذين لم يحدّثوا أبدًا، ولم تكشف الفريق بعد عن الخسائر الإجمالية. BTCPay Server هو معالج دفع مجاني ومفتوح المصدر يُضيفه التجار بأنفسهم لقبول البيتكوين. في إعداد المحفظة الساخنة، يخزن الخادم المفاتيح الخاصة بنفسه، مما يسمح للبرنامج بإرسال الأموال دون الحاجة إلى توقيع المشغل على كل معاملة. نتيجةً لذلك، يمكن لأي شخص لديه وصول مسؤول إلى مثل هذا الخادم نقل عملاته.
ما الإصدارات التي استهدفتها المهاجمون؟
فريق BTCPay Server أثار أولًا الإنذار في وقت متأخر من يوم 1 نوفمبر. طلب من كل مشغل إيقاف تشغيل نسخته حتى انتهاء التحقيق.
ثم ضيّق المتابعة نطاق البحث. يُستهدف متجه الهجوم الإصدار 2.4.1، الصادر في 23 يوليو 2026، وأي إصدار أقدم. في الوقت نفسه، تقول الفريق إنه لا توجد تقارير موثوقة عن تسريبات في الإصدار الحالي 2.4.7.
المؤسس نيكولاس دوريه قال إن المهاجم سجل الدخول كمسؤول على الخوادم المتأثرة، على الرغم من أن الفريق لم يحدد بعد الطريقة. حتى الآن، وجد التحقيق آثارًا لثغرات تسبق الإصدار 2.4.2.
يشكل هذا الاختراق على الأقل المرة الثانية خلال ثلاثة أشهر التي يسرق فيها المهاجمون الأموال من حالات BTCPay Server التي تعمل بإصدارات أقدم من 2.4.2. وقد قام هذا الإصدار بإصلاح ثغرة حرجة في أغسطس، والتي سمحت للمهاجمين عن بُعد بالحصول على بيانات اعتماد عقدة Lightning وتفريغ المحافظ المتصلة.
حتى في ذلك الوقت، كان العيب مستغلاً بالفعل بشكل نشط.
هل تستحق محفظة BTCPay Server الساخنة المخاطرة؟
كما تحرك مقدمو استضافة بسرعة. يقول الفريق إن LunaNode وآخرين قد أغلقوا مثيلات العملاء تلقائيًا لمنع الهجمات على الإصدارات الأقدم.
يدور دوريير الإصدار 2.4.7 بمحفظة ساخنة بنفسه. ومع ذلك، حذر المؤسس من الاحتفاظ بمبالغ كبيرة على أي خادم.
لا تضع أكثر مما أنت مستعد لخسارته في المحفظة الساخنة. لا يمكننا ضمان أن هذا لن يحدث مرة أخرى.
نيكولاس دوريه، X
يتوافق الحادث مع نمط أوسع عبر البنية التحتية لبيتكوين المُستضافة ذاتيًا. حذّرت Core Lightning مؤخرًا أن المهاجمون يستهدفون العقد غير المُحدَّثة. وفي الحالتين، كان الحل متاحًا قبل السرقة، لذا كانت النقطة الأضعف هي مشغّل قام بتثبيت مثيل لـ BTCPay Server مرة واحدة ولم يُحدّثه أبدًا.
ظهرت المقالة هل خادم BTCPay الخاص بك آمن؟ ما الذي تُظهره تحقيقات سحب المحافظ الساخنة لأول مرة على BeInCrypto.