আক্রমণকারীরা পুরনো BTCPay Server ইনস্ট্যান্সগুলিতে অ্যাডমিন অ্যাক্সেস লাভ করে তাদের হট ওয়ালেটগুলি খালি করে দেয়, এবং সূচনা করে যে এই ত্রুটিগুলি আগস্টের প্যাচের আগে থেকেই বিদ্যমান ছিল।
ক্ষতি পড়ে যারা কখনও আপডেট করেননি, এবং দল এখনও মোট ক্ষতির বিষয়ে প্রকাশ করেননি। BTCPay Server হল একটি বিনামূল্যে, ওপেন-সোর্স পেমেন্ট প্রসেসর যা মার্চেন্টরা নিজেদের দ্বারা হোস্ট করে বিটকয়েন গ্রহণ করে। একটি হট ওয়ালেট সেটআপে, সার্ভারটি নিজেই প্রাইভেট কীগুলি সংরক্ষণ করে, যা সফটওয়্যারকে অপারেটরকে প্রতিটি লেনদেনের জন্য সই করতে হবে না, তবে ফান্ডস পাঠাতে দেয়। ফলস্বরূপ, এই ধরনের সার্ভারের অ্যাডমিন অ্যাক্সেস থাকা যারা, তারা এর কয়েনগুলি সরিয়ে ফেলতে পারে।
আক্রমণকারীরা কোন সংস্করণগুলি লক্ষ্য করেছিল?
নভেম্বর 1-এর শেষের দিকে বিটপে সার্ভার দল প্রথম সতর্কবার্তা জারি করে। তারা প্রতিটি অপারেটরকে তদন্ত শেষ না হওয়া পর্যন্ত তাদের ইনস্ট্যান্স বন্ধ করতে অনুরোধ করে।
একটি অনুসরণকারী তখন পরিসরকে সংকুচিত করে। আক্রমণের ভেক্টরটি ২৩ জুলাই, ২০২৬-এ প্রকাশিত সংস্করণ ২.৪.১ এবং তার চেয়ে পুরনো যেকোনো সংস্করণকে লক্ষ্য করে। অন্যদিকে, দলটি বলেছে যে বর্তমান ২.৪.৭ সংস্করণের উপর কোনো বিশ্বস্ত রিপোর্ট নেই যে এটি খালি করা হয়েছে।
প্রতিষ্ঠাতা নিকোলাস ডরিয়ে বলেছেন আক্রমণকারী প্রভাবিত সার্ভারগুলিতে একজন অ্যাডমিন হিসেবে লগইন করেছিল, যদিও দলটি এখনও বুঝতে পারেনি কিভাবে। এখনও তদন্তে 2.4.2 ভার্সনের আগের ভালনারেবিলিটির নিদর্শন পাওয়া গেছে।
এই ব্রিচটি কমপক্ষে তিন মাসের মধ্যে দ্বিতীয়বারের মতো আক্রমণকারীদের দ্বারা 2.4.2-এর চেয়ে পুরনো ভার্সন চালানো BTCPay Server ইনস্ট্যান্সগুলি থেকে ফান্ড চুরির ঘটনা। সেই রিলিজ আগস্টে একটি গুরুতর ত্রুটি প্যাচ করেছিল, যা রিমোট আক্রমণকারীদের লাইটনিং নোডের ক্রেডেনশিয়াল পাওয়ার অনুমতি দিয়েছিল এবং সংযুক্ত ওয়ালেটগুলি খালি করে দিয়েছিল।
তবুও, বাগটি ইতিমধ্যে সক্রিয়ভাবে দুর্বলতা প্রয়োগ করা হচ্ছিল।
একটি BTCPay সার্ভার হট ওয়ালেট ঝুঁকির মূল্য কি?
হোস্টিং প্রদানকারীরাও দ্রুত কাজ করেছে। টিম বলেছে, লুনা নোড এবং অন্যান্যরা পুরনো সংস্করণে আক্রমণ বন্ধ করতে গ্রাহকদের ইনস্ট্যান্সগুলি স্বয়ংক্রিয়ভাবে বন্ধ করে দিয়েছিল।
ডোরিয়ার নিজেই 2.4.7 সংস্করণ চালান এবং একটি হট ওয়ালেট ব্যবহার করেন। তবুও, প্রতিষ্ঠাতা যেকোনো সার্ভারে বড় পরিমাণ টাকা রাখার পরামর্শ দেননি।
হট ওয়ালেটে আপনি যতটা হারানোর জন্য প্রস্তুত তার চেয়ে বেশি রাখবেন না। আমরা এটি আবার ঘটবে না তা নিশ্চিত করতে পারি না।
নিকোলাস ডরিয়ে, X
ঘটনাটি স্বয়ংহস্তে হোস্ট করা বিটকয়েন ইনফ্রাস্ট্রাকচারের একটি ব্যাপক প্যাটার্নের সাথে মেলে। কোর লাইটনিং সম্প্রতি সতর্ক করেছে যে আক্রমণকারীরা আপডেট না করা নোডগুলিকে লক্ষ্য করে। উভয় ক্ষেত্রেই চুরির আগেই সমাধান উপলব্ধ ছিল, তাই সবচেয়ে দুর্বল বিন্দুটি ছিল এমন একজন অপারেটর যিনি একবার BTCPay Server ইনস্টল করেছিলেন এবং কখনও আপডেট করেননি।
আপনার BTCPay সার্ভার নিরাপদ কি? হট ওয়ালেট ড্রেন তদন্ত কী দেখায় প্রথম প্রকাশিত হয় BeInCrypto-এ।