যদি আপনি একটি $Bitcoin পেমেন্ট সার্ভার চালান, তবে এই বাক্যের পরে পড়া বন্ধ করে দিন এবং এটি বন্ধ করে দিন। BTCPay Server, যা সবচেয়ে বেশি ব্যবহৃত সেলফ-হোস্টেড বিটকয়েন পেমেন্ট প্রসেসর, যাচাই করেছে যে আক্রমণকারীরা পুরানো ইনস্টলেশনগুলিতে হট ওয়ালেটগুলি শোষণ করছে এবং তদন্ত শেষ না হওয়া পর্যন্ত প্রতিটি অপারেটরকে তাদের ইনস্ট্যান্সটি অফলাইনে নিয়ে যাওয়ার অনুরোধ করেছে।
বিটকয়েন পে সার্ভারে কী ঘটেছিল?
শনিবার, ১ নভেম্বর রাতের দিকে, BTCPay Server দল একটি জরুরি সতর্কবার্তা পোস্ট করে: বিটকয়েন পেমেন্ট ইনস্ট্যান্সের সাথে যুক্ত হট ওয়ালেটগুলি অননুমোদিত আক্রমণকারীদের দ্বারা খালি করা হচ্ছে। নির্দেশটি স্পষ্ট ছিল। ./btcpay-down.sh স্ক্রিপ্ট ব্যবহার করে আপনার সার্ভারটি বন্ধ করে অপেক্ষা করুন।
রবিবার নাগাদ, ঘটনা প্রতিক্রিয়া দলটি আক্রমণের পথটি সংকুচিত করেছে। প্রকল্পটির অনুসারে, প্রভাবিত ইনস্টলেশনগুলি ২৩ জুলাই ২০২৬-এ প্রকাশিত ২.৪.১ সংস্করণ বা তার পুরনো সংস্করণ চালু করে। বর্তমান ২.৪.৭ সংস্করণে ওয়ালেট খালি হওয়ার কোনও বিশ্বস্ত রিপোর্ট নেই।
সহ-প্রতিষ্ঠাতা নিকোলাস ডরিয়ে একটি চিন্তাজনক বিস্তার যোগ করেছেন: আক্রমণকারী প্রভাবিত ইনস্ট্যান্সগুলিতে অ্যাডমিনিস্ট্রেটর প্রিভিলেজ সহ লগ ইন করতে সক্ষম হয়েছিল। এই অ্যাক্সেসটি কীভাবে পাওয়া গেল তা এখনও অজানা। 2.4.7 চালানো প্রকল্পের নিজস্ব পাবলিক সার্ভারগুলি আক্রান্ত হয়নি।
বিটকয়েন হ্যাকে কতগুলি বিটকয়েন চুরি হয়েছিল?
এখনও কেউ জানে না, এবং BTCPay Server কোনো সংখ্যা প্রকাশ করেনি। দলটি এখনও পর্যন্ত কতগুলি সার্ভার কম্প্রোমাইজ হয়েছে বা কতজন অপারেটর ক্ষতির প্রতিবেদন করেছেন তা প্রকাশ করেনি। প্রভাবিত ব্যবহারকারীদের নিরাপত্তা দলকে ঘটনার বিস্তারিত এবং সার্ভার লগ পাঠানোর অনুরোধ করা হচ্ছে যাতে তদন্তটি পরিসর নির্ধারণ করতে পারে।
হোস্টিং প্রোভাইডাররা দ্রুত কাজ করেছে। লুনা নোড এবং অন্যান্যরা পুরনো ইনস্ট্যান্সগুলি স্বয়ংক্রিয়ভাবে বন্ধ করে দিয়েছে, তাই যদি আপনার BTCPay ড্যাশবোর্ড শনিবার-রবিবারে হঠাৎ অন্ধকার হয়ে গিয়ে থাকে, তবে সেটাই কারণ।
এটি আগস্টের মতো একই বিটকয়েন পে ভালনারেবিলিটি কি?
ঠিক নয়, কিন্তু এই প্যাটার্নটি পরিচিত। আগস্টে, BTCPay Server একটি সক্রিয়ভাবে দুর্বলতা প্রকাশ করেছিল যা আক্রমণকারীদের LND অ্যাডমিনিস্ট্রেটর ক্রেডেনশিয়াল উত্তোলন এবং সংযুক্ত Lightning ওয়ালেটে পৌঁছাতে দিয়েছিল। এই বাগটি 2.4.2-এ প্যাচ করা হয়েছিল, এবং প্রকল্পটি পুনরুদ্ধারকৃত অর্থের 10 শতাংশের একটি পুরস্কার ঘোষণা করেছিল, যা 3 BTC-এর সর্বোচ্চ সীমা নিয়েছিল।
আগস্টের ত্রুটিটি স্পষ্টভাবে অন-চেইন হট ওয়ালেটগুলিকে স্পর্শ করেনি। এটি করে। এবং এটি কোর লাইটনিংয়ের সতর্কবার্তা থেকে ছয় সপ্তাহ পরে আসছে যে আক্রমণকারীরা পুরনো, আপডেট করা হয়নি লাইটনিং নোডগুলি খুঁজছে। তিন মাসে তিনটি পৃথক ঘটনা থেকে বার্তাটি একই: আপডেট করা না হওয়া বিটকয়েন পেমেন্ট অবকাঠামোকে সক্রিয়ভাবে স্ক্যান করা হচ্ছে এবং আক্রমণ করা হচ্ছে।
বিটকয়েন পে সার্ভার অপারেটরদের এখনই কী করা উচিত?
- যতক্ষণ না BTCPay Server থেকে সম্পূর্ণ স্বীকৃতি পাওয়া যায়, ততক্ষণ ইনস্ট্যান্সটি বন্ধ রাখুন, যদিও আপনি একটি সাম্প্রতিক সংস্করণে থাকেন। প্রকল্পটি বলছে 2.4.7 প্রভাবিত নয়, কিন্তু অ্যাডমিন লগইনের মূল কারণটি অজানা।
- আপনার হট ওয়ালেটের ব্যালেন্স চেক করুন এবং যা কিছু বাকি আছে তা কোল্ড স্টোরেজে স্থানান্তর করুন। BTCPay দীর্ঘদিন ধরে সুপারিশ করেছে যে শুধুমাত্র অপারেটিং ফ্লোটকে হট ওয়ালেটে রাখা উচিত।
- আপনার লগগুলি সংরক্ষণ করুন। যদি আপনি অব্যাখ্যায়িত লেনদেন দেখেন, তবে সার্ভার মুছে ফেলবেন না। লগগুলি BTCPay-এর নিরাপত্তা দলের কাছে পাঠান।
- পুনরায় শুরু করার আগে আপডেট করুন। যখন আপনি ইনস্ট্যান্সটি ফিরিয়ে আনবেন, তখন 2.4.7 বা তার পরের প্যাচড রিলিজে এটি করুন।
- সার্ভারের প্রতিটি অ্যাডমিন অ্যাকাউন্ট এবং যে কোনো সার্ভিসের জন্য যা এটির সাথে পাসওয়ার্ড শেয়ার করেছে, ক্রেডেনশিয়াল রোটেট করুন।