BTCPay Server: Lỗ hổng phiên bản cũ dẫn đến việc tiền trong ví nóng bị đánh cắp, khuyên người dùng ngay lập tức chuyển đổi

Công cụ xử lý thanh toán Bitcoin mã nguồn mở BTCPay Server đã nhận được nhiều báo cáo cho biết ví nóng Bitcoin và Litecoin trên nền tảng của họ đã bị đánh cắp tiền một cách trái phép. Nhóm dự án đã phát hành cập nhật điều tra, xác nhận rằng cuộc tấn công nhắm vào các máy chủ chạy phiên bản BTCPay Server 2.4.1 hoặc các phiên bản cũ hơn. Kẻ tấn công đã lợi dụng lỗ hổng đã được sửa chữa trong phiên bản 2.4.2 vào ngày 7 tháng 8, bằng cách sử dụng các phương pháp khác nhau để có được quyền quản trị máy chủ và làm trống tiền trong ví nóng.

Người sáng lập BTCPay Server, Nicolas Dorier, xác nhận rằng chỉ các máy chủ chạy phiên bản trước 2.4.2, đặc biệt là phiên bản 2.4.1, bị ảnh hưởng; người dùng chạy phiên bản mới nhất 2.4.7 chưa báo cáo thiệt hại đáng tin cậy. Một số nhà cung cấp bị ảnh hưởng, bao gồm LunaNode, đã tự động đóng các phiên bản cũ có rủi ro. Cơ quan chức năng khuyến nghị những người dùng vẫn sử dụng phiên bản 2.4.1 hoặc cũ hơn ngay lập tức chuyển số tiền còn lại trong ví nóng cũ sang ví mới được tạo bằng cụm từ ghi nhớ hoàn toàn mới, ngắt kết nối máy chủ cũ và giữ lại các nhật ký liên quan, sau đó cài đặt phiên bản mới nhất trên máy ảo mới và kết nối với ví mới, tuyệt đối không khôi phục toàn bộ máy chủ cũ sang máy mới.

Chỉ cập nhật phiên bản phần mềm không đủ để loại bỏ rủi ro, vì kẻ tấn công có thể đã có quyền truy cập lâu dài trên máy chủ cũ. Số tiền được lưu trữ bên ngoài máy chủ, chẳng hạn như số tiền trong ví phần cứng, không bị ảnh hưởng bởi sự kiện này. Lỗ hổng này liên quan đến lỗ hổng đã được sửa chữa vào tháng 8 năm nay, khi đó kẻ tấn công đã thao túng nút bằng cách lấy được thông tin xác thực quản lý LND. Đến thời điểm hiện tại, lỗ hổng này vẫn chưa được cấp số CVE và không nằm trong danh mục lỗ hổng đã biết bị khai thác của CISA.