BTCPay Server সময়সীমার জন্য সীমাবদ্ধ করেছে লাইটনিং নেটওয়ার্ক নোডগুলির জন্য পাবলিক রিমোট অ্যাক্সেস, যেগুলি LND চালায়, যখন এটি নিশ্চিত করেছে যে আক্রমণকারীরা একটি গুরুতর ভুলের ব্যবহার করে ক্রেডেনশিয়াল চুরি করেছে এবং ফান্ডস স্থানান্তরিত করেছে।
ওপেন-সোর্স বিটকয়েন পেমেন্ট প্রসেসরটি বলেছে যে এই ত্রুটি 2.4.2-এর আগের সকল BTCPay Server ভার্সনকে প্রভাবিত করে, যার মধ্যে 2.4.2 রিলিজ ক্যান্ডিডেটও অন্তর্ভুক্ত। আক্রমণকারীরা LND “macaroon” ফাইলগুলি পাওয়ার সক্ষম হয়েছিল, যেগুলি একটি লাইটনিং নোড এবং এর ফান্ডসের উপর নিয়ন্ত্রণ অনুমোদন করার জন্য যাচাইকরণ তথ্য।
BTCPay নিশ্চিত করেছে যে ব্যবহারকারীরা প্রভাবিত হয়েছেন এবং অর্থ চুরি হয়েছে, কিন্তু ক্ষতির মোট পরিমাণ বা দুর্নীতিগ্রস্ত অপারেটরদের সংখ্যা শেয়ার করেননি। প্রকল্পটি অপারেটরদের আপগ্রেড চলাকালীন সম্পূর্ণ প্রযুক্তিগত বিবরণও গোপন রাখছে।
BTCPay থেকে X পোস্ট
ভার্শন 2.4.2 ডকার ডিপ্লয়মেন্টে LND API-এর পাবলিক অ্যাক্সেস স্থায়ীভাবে বন্ধ করে দিয়েছে। এর মানে হলো, এখন জিউস এর মতো বাহ্যিক ওয়ালেট BTCPay Server ডোমেইন বা Tor অনিয়ন ঠিকানার মাধ্যমে LND-এর সাথে কানেক্ট করতে পারছে না। সাধারণ Lightning পেমেন্ট চলতে থাকবে, এবং BTCPay বলেছে যে তারা সেটআপটি নিরাপদ বলে মনে করলেই রিমোট অ্যাক্সেস ফিরিয়ে আনবে।
BTCPay ব্যবহারকারীদের জন্য LND আপডেট করার জন্য তাত্ক্ষণিকভাবে অনুরোধ জানায়
BTCPay সার্ভার 2.4.2 স্ট্যান্ডার্ড ডিপ্লয়মেন্টগুলিকে LND 0.21.1-এ আপগ্রেড করে এবং অটোমেটিকভাবে ম্যাকারুন ক্রেডেনশিয়াল পুনরায় তৈরি করে। অপারেটরদের তাদের নোডগুলিতে অননুমোদিত পেমেন্ট, অপ্রত্যাশিত চ্যানেল বন্ধ, অপরিচিত পিয়ার এবং তাদের অন-চেইন বা লাইটনিং ব্যালেন্সের অব্যাখ্যায়িত পার্থক্য পরীক্ষা করা উচিত।
যারা নিজেদের রিভার্স প্রক্সি, টর সার্ভিস, ফরওয়ার্ডেড পোর্ট বা অন্য কোনো পথের মাধ্যমে LND প্রকাশ করেন, তাদের বিটিকেপে আপডেট করার সময় আলাদাভাবে ক্রেডেনশিয়াল পরিবর্তন করতে হবে, কারণ বিটিকেপের আপডেট স্বতন্ত্রভাবে পরিচালিত অ্যাক্সেস পথগুলি বন্ধ করে দেয় না। যারা তাত্ক্ষণিকভাবে আপডেট করতে পারছেন না, তাদের প্রভাবিত LND ডিপ্লয়মেন্টগুলি অফলাইন করার নির্দেশ দেওয়া হয়েছে।
2.4.2 GitHub রিলিজটি গ্রিনফিল্ড API সুরক্ষাকেও শক্তিশালী করে, যার মধ্যে বেসিক অথেনটিকেশনের মাধ্যমে TOTP দুই-ফ্যাক্টর অথেনটিকেশন বাইপাসের জন্য একটি সমাধান অন্তর্ভুক্ত রয়েছে। বেসিক অথেনটিকেশন এখন অ্যাকাউন্ট তৈরির পাঁচ মিনিট পরে ডিফল্টভাবে অক্ষম করে দেওয়া হয়, যদি ব্যবহারকারীরা পুনরায় সক্ষম না করেন। BTCPay এখনও এটি কি আক্রমণকারীদের LND ক্রেডেনশিয়াল পাওয়ার জন্য সঠিক পথ ছিল, তা নির্ধারণের জন্য পর্যাপ্ত তথ্য প্রকাশ করেননি।
ফাউন্ডেশন এবং সিটাডেল২১ ড্রেইনড নোড রিপোর্ট করেছে
কমপক্ষে দুইজন অপারেটর পাবলিকভাবে ক্ষতির প্রতিবেদন করেছেন। ফাউন্ডেশনের সিইও জ্যাক হারবার্ট বলেছেন যে হার্ডওয়্যার-ওয়ালেট কোম্পানির লাইটনিং নোড খালি করে দেওয়া হয়েছে, এর চ্যানেলগুলি বন্ধ করে দেওয়া হয়েছে এবং তার ফান্ডগুলি স্বীকৃত হয়েছে, যদিও এর BTCPay অন-চেইন হট ওয়ালেটটি অপ্রভাবিত থাকে। বিটকয়েন প্রকাশনা Citadel21ও প্রতিবেদন করেছে যে এর লাইটনিং নোডটি স্বীকৃত হয়েছে। কোনোটিই কতটা ক্ষতির প্রতিবেদন করেনি।
BTCPay বলেছে যে তাদের স্ট্যান্ডার্ড অন-চেইন ওয়ালেট, যার মধ্যে হট ওয়ালেটও অন্তর্ভুক্ত, LND ক্রেডেনশিয়াল সমস্যার প্রভাবে পড়েনি, যদিও LND-এর নিজস্ব অন-চেইন ওয়ালেটের ফান্ডগুলি এখনও ঝুঁকিপূর্ণ হতে পারে।
প্রকল্পটি পরবর্তী কয়েক দিনের মধ্যে একটি সম্পূর্ণ পোস্টমর্টেম প্রতিশ্রুতি দিয়েছে।