Odaily Planet Daily News: Noong Nobyembre 1, ang open-source na tool para sa pagproseso ng Bitcoin payment, BTCPay Server, ay nagsa-report ng maraming kaso ng hindi pinahintulutang pagkuha ng pondo mula sa hot wallets ng Bitcoin at Litecoin sa platform nito. Noong Nobyembre 2, ang tim ng proyekto ay naglabas ng update sa imbestigasyon at kumpirmado na ang pag-atake ay tumutok sa mga server na nagpapatakbo ng BTCPay Server version 2.4.1 o mas lumang bersyon. Ang mga attacker ay gumamit ng isang vulnerability na naka-fix na noong Agosto 7 sa version 2.4.2, at gamit ang iba’t ibang paraan, sila ay nakakuha ng admin access sa server at inilinis ang lahat ng pondo sa hot wallet. Si Nicolas Dorier, ang founder ng BTCPay Server, ay kumpirmado na ang tanging mga server na nagpapatakbo ng bersyon bago ang 2.4.2, lalo na ang 2.4.1, ang naapektuhan; hanggang sa kasalukuyan, walang kumpirmadong pagkawala na naitala sa mga gumagamit ng pinakabagong bersyon 2.4.7. Ang ilang mga service provider na naapektuhan, kabilang ang LunaNode, ay awtomatikong isinara ang mga lumang instance na may panganib. Ang opisyal na payo ay ang mga gumagamit na nananatili pa sa version 2.4.1 o mas lumang bersyon ay dapat agad na i-transfer ang natitirang pondo sa kanilang lumang hot wallet patungo sa isang bagong wallet na nilikha gamit ang bagong mnemonic phrase, i-offline ang lumang server at panatilihin ang mga log, at pagkatapos ay i-install ang pinakabagong bersyon sa isang bagong virtual machine at i-connect ito sa bagong wallet—hindi dapat i-recover ang buong lumang server sa bagong machine. Ang pag-update lamang ng software version ay hindi sapat upang tanggalin ang panganib, dahil posibleng mayroon nang persistent access ang mga attacker sa lumang server. Ang mga pondo na naka-store sa labas ng server, tulad ng sa hardware wallet, ay hindi naapektuhan ng insidente na ito. Ang vulnerability na ito ay may kinalaman sa vulnerability na naka-fix noong Agosto ng taong ito, kung saan ang mga attacker ay nakakuha ng LND admin credentials upang kontrolin ang node. Hanggang sa kasalukuyan, wala pang CVE ID na ibinigay sa vulnerability na ito, at hindi ito nakalista sa CISA’s Known Exploited Vulnerabilities catalog.
Babala ng BTCPay Server sa mga gumagamit na mag-migrate mula sa mga lumang bersyon pagkatapos ng security breach
KuCoinFlashI-share
Summary
Inihikayat ng BTCPay Server ang mga gumagamit na i-upgrade mula sa mga lumang bersyon pagkatapos ng isang security breach na nakakaapekto sa mga hot wallet noong November 1. Ang kamalian, na-pinag-ayos sa bersyon 2.4.2 noong Agosto 7, ay nagbigay-daan sa mga attacker na manakaw ng pera sa pamamagitan ng pagkuha ng admin access. Ipinakikita ng on-chain data na walang nasumpungan na pagkawala para sa mga gumagamit sa 2.4.7. Ang mga apektadong provider tulad ng LunaNode ay isinara ang mga vulnerable server. Inirerekomenda sa mga gumagamit na i-transfer ang kanilang pera sa mga bagong wallet, i-decommission ang mga lumang server, at i-reinstall sa mga bagong VM. Maaaring makaranas ng pagbabago ang mga altcoin na dapat subaybayan habang binabale-wala ng mga gumagamit ang kanilang mga pagsasagawa sa seguridad. Ang vulnerability, na may kaugnayan sa isang nakaraang LND node exploit, ay walang CVE number at hindi nakalista sa catalog ng CISA.
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.