حملہ آوروں نے obsolete BTCPay Server کے اداروں تک ایڈمن رسائی حاصل کی اور ان کے ہاٹ والٹس خالی کر دیے، اور نشانات اس بات کی طرف اشارہ کرتے ہیں کہ خامیاں اگست کے پیچ سے پہلے کی ہیں۔
نقصان ان آپریٹرز پر پڑتا ہے جنہوں نے کبھی اپڈیٹ نہیں کیا، اور ٹیم اب تک کل نقصانات کا اعلان نہیں کیا ہے۔ BTCPay Server ایک مفت، اوپن سورس ادائیگی پروسیسر ہے جسے مرچنٹس اپنی طرف سے ہوسٹ کرتے ہیں تاکہ بٹ کوائن قبول کر سکیں۔ گرم والٹ کی ترتیب میں، سرور ذاتی کلیدز کو خود محفوظ رکھتا ہے، جس سے سافٹ ویئر آپریٹر کے ہر لین دین پر دستخط کے بغیر فنڈز بھیج سکتا ہے۔ نتیجہ طور پر، اس قسم کے سرور تک ایڈمن رسائی رکھنے والے کوئی بھی اس کے کوائن منتقل کر سکتا ہے۔
حملہ آوروں نے کن ورژنز کو ہدف بنایا؟
BTCPay Server ٹیم نے 1 نومبر کو رات کو الارم بجایا۔ اس نے ہر آپریٹر سے کہا کہ وہ اپنا انستنس بند کر دے جب تک تحقیق ختم نہ ہو جائے۔
ایک مزید تفتیش نے دائرہ کار کو کم کر دیا۔ حمل کا طریقہ 23 جولائی، 2026 کو جاری کی گئی ورژن 2.4.1 اور اس سے پہلے کے تمام ورژنز کو ہدف بناتا ہے۔ اس کے برعکس، ٹیم کا کہنا ہے کہ موجودہ 2.4.7 ریلیز پر کسی بھی خرابی کی کوئی قابل اعتماد رپورٹ نہیں ہے۔
فاؤنڈر نکولاس دوریئر نے کہا کہ حملہ آور نے متاثرہ سرورز پر ایڈمن کے طور پر لاگ ان کیا، تاہم ٹیم اب تک یہ نہیں سمجھ پائی کہ یہ کیسے ہوا۔ اب تک تحقیق میں وہ کمزوریاں ملی ہیں جو ورژن 2.4.2 سے پہلے کی ہیں۔
یاہ حملہ کم از کم تین ماہ میں دوسری بار ہے جب حملہ آوروں نے 2.4.2 سے پرانے ورژن چلنے والے BTCPay Server اداروں سے فنڈز چھین لیے۔ اس ریلیز نے اگست میں ایک اہم خامی کو درست کیا، جس کی وجہ سے دور سے حملہ آور Lightning نوڈ کے اعتمادی تفصیلات حاصل کر سکتے تھے اور جڑے والٹس کو خالی کر سکتے تھے۔
تاہم، خرابی پہلے ہی فعال طور پر استعمال کی جا رہی تھی۔
کیا BTCPay Server ہاٹ والٹ خطرہ اٹھانے کے قابل ہے؟
ہوسٹنگ فراہم کنندگان نے بھی جلدی سے اقدام کیا۔ ٹیم کے مطابق، لونا نوڈ اور دیگر نے قدیم ورژنز پر حملوں کو روکنے کے لیے صارفین کے انستنسز کو خودکار طور پر بند کر دیا ہوگا۔
ڈوریئر خود 2.4.7 ورژن کے ساتھ ایک ہاٹ والٹ استعمال کرتا ہے۔ تاہم، بانی نے کسی بھی سرور پر بڑی رقم رکھنے کی ہدایت کی ہے۔
اپنے ہاٹ والٹ میں اتنی رقم نہ ڈالیں جتنا آپ کھونے کو تیار ہوں۔ ہم یہ گارنٹی نہیں دے سکتے کہ یہ دوبارہ نہیں ہوگا۔
نکولاس دوریئر، X
یا واقعہ خود میزبانی شدہ بٹ کوائن انفراسٹرکچر کے ساتھ ایک وسیع نمونے کا حصہ ہے۔ کور لائٹننگ نے حال ہی میں خبر دی ہے کہ حملہ آور غیر اپ ڈیٹ نوڈس کا نشانہ بناتے ہیں۔ دونوں صورتوں میں، چوری سے پہلے ہی اصلاح موجود تھی، اس لیے کمزور ترین نقطہ ایک آپریٹر تھا جس نے ایک بار BTCPay Server کا انسٹال کیا اور کبھی اپ ڈیٹ نہیں کیا۔
پوسٹ کیا آپ کا BTCPay Server محفوظ ہے؟ ہاٹ والٹ ڈرین تحقیق کیا ظاہر کرتی ہے پہلے BeInCrypto پر ظاہر ہوئی۔