BTCPay Server, hệ thống xử lý thanh toán mã nguồn mở được hàng ngàn bên chấp nhận thanh toán bitcoin trên toàn thế giới sử dụng, đã phát đi cảnh báo bảo mật khẩn cấp vào ngày 7 tháng 8 sau khi kẻ tấn công khai thác lỗ hổng nghiêm trọng để trục lợi từ các nút mạng Lightning được kết nối. Lỗ hổng này cho phép truy cập trái phép vào thông tin xác thực của nút mạng Lightning, và ít nhất hai thành viên nổi bật trong cộng đồng bitcoin đã xác nhận nút mạng của họ đã bị rút sạch funds qua đêm.
Foundation, công ty đứng sau dòng sản phẩm ví phần cứng phổ biến, và hodlonaut, người điều hành ấn bản Bitcoin Citadel21, đều báo cáo rằng các kênh Lightning của họ đã bị đóng buộc và số dư bị rút sạch. Các ví nóng liên quan của họ không bị ảnh hưởng, điều này cho thấy vector tấn công nằm ở một khía cạnh cụ thể trong cách BTCPay Server xử lý xác thực nút Lightning.
Điều gì đã xảy ra
Lỗ hổng tập trung vào thông tin xác thực nút mạng Lightning được gọi là macaroons, hoạt động như các khóa API cấp quyền thực hiện các hành động trên nút mạng Lightning. Vấn đề là những thông tin xác thực này vẫn tồn tại ngay cả sau khi người dùng áp dụng các bản cập nhật phần mềm trước đó. Những người vận hành đã cập nhật cẩn thận các cài đặt BTCPay Server của họ vẫn bị phơi bày vì các macaroons cũ vẫn còn hiệu lực và yêu cầu làm mới thông tin xác thực thủ công.
BTCPay Server đã phát hành phiên bản 2.4.2 vào cùng ngày với cảnh báo, kèm theo hướng dẫn nâng cấp backend NBXplorer lên phiên bản 2.6.10. Dự án yêu cầu tất cả người vận hành cập nhật ngay lập tức hoặc tắt hoàn toàn máy chủ của họ để ngăn ngừa thêm tổn thất.
Đáng chú ý, lỗ hổng này khác với lỗi xác thực trước đó mà BTCPay Server đã vá chỉ vài ngày trước đó.
Nghịch lý tự lưu trữ
Foundation sản xuất ví phần cứng, các thiết bị được thiết kế đặc biệt để mang lại cho người dùng sự kiểm soát tối đa đối với bitcoin của chính họ. Việc họ bị bất ngờ bởi một lỗ hổng của BTCPay Server cho thấy mức độ khắt khe trong việc duy trì bảo mật tuyệt đối trên mọi lớp của một hệ thống tự lưu trữ.
Cuộc tấn công cũng xảy ra trong giai đoạn tăng cường giám sát đối với cơ sở hạ tầng bitcoin nói chung. Một lỗ hổng phần mềm firmware gần đây của Coldcard đã đặt an ninh ví phần cứng dưới sự quan tâm sát sao, và Bitcoin Red Team đã tiến hành các cuộc kiểm toán được hỗ trợ bởi AI đối với các công cụ bitcoin quan trọng. Việc lỗ hổng BTCPay này bị khai thác chủ động trước khi các nỗ lực kiểm toán phát hiện ra nó đã đặt ra câu hỏi về mức độ phù hợp của quy trình đánh giá bảo mật hiện tại với bề mặt tấn công.
Fallout và những điều cần theo dõi
Cả BTCPay Server và Bitcoin Red Team đều cho biết các phân tích kỹ thuật chi tiết về lỗ hổng sẽ được công bố trong những ngày tới.
Cơ chế cụ thể của lỗ hổng này, cùng với các thông tin xác thực vẫn tồn tại sau các bản cập nhật phần mềm, cho thấy một loại lỗ hổng dễ bị bỏ qua. Khi việc khắc phục yêu cầu một bước thủ công bổ sung mà không rõ ràng ngay lập tức, khoảng cách giữa “đã cập nhật” và “an toàn” trở thành vùng săn mồi của các kẻ tấn công.
Các bên chấp nhận thanh toán vẫn đang sử dụng các phiên bản cũ hơn của BTCPay Server với Lightning được kích hoạt nên coi tình huống này là khẩn cấp. Khuyến nghị của dự án tắt máy chủ nếu không thể cập nhật ngay lập tức là lời khuyên hiếm khi được các nhà duy trì mã nguồn mở đưa ra một cách trực tiếp như vậy.