BTCPay Server limita l'accesso remoto a Lightning dopo un exploit delle credenziali
Punti chiave
- •BTCPay Server ha disabilitato temporaneamente le connessioni remote ai nodi LND dopo una vulnerabilità che ha permesso agli aggressori di rubare credenziali di autenticazione e sottrarre fondi.
- •La falla di sicurezza ha esposto file "macaroon", token usati per controllare i nodi Lightning Network, consentendo accessi non autorizzati.
- •La nuova versione 2.4.2 ruota automaticamente le credenziali nelle installazioni BTCPay standard, mentre gli operatori con configurazioni personalizzate devono mettere in sicurezza manualmente le proprie connessioni.
- •Almeno due soggetti, il produttore di hardware Foundation e la pubblicazione Citadel21, hanno segnalato la chiusura dei canali Lightning e la sottrazione dei fondi.
BTCPay Server, il processore di pagamenti Bitcoin open source e self-hosted, ha temporaneamente limitato le connessioni remote pubbliche ai nodi Lightning Network che eseguono il software Lightning Network Daemon (LND) dopo che gli aggressori hanno sfruttato una vulnerabilità critica per ottenere credenziali e trasferire fondi.
La restrizione impedisce a wallet esterni come Zeus di connettersi tramite un dominio BTCPay Server o un indirizzo onion Tor nelle implementazioni Docker. I pagamenti Lightning continuano a funzionare normalmente e BTCPay ha dichiarato che ripristinerà l'opzione di accesso remoto quando riterrà che il rischio sia stato sufficientemente mitigato.
L'incidente è l'ultimo di una serie di violazioni della sicurezza che hanno colpito prodotti Bitcoin ampiamente utilizzati, arrivando poco dopo che una falla hardware wallet di Coldcard è stata collegata a oltre $100 million in perdite confermate. Entrambi i casi hanno riguardato software e infrastrutture attorno a Bitcoin, e non vulnerabilità nel protocollo sottostante della rete, una distinzione che evidenzia come il crescente ecosistema di servizi abilitati a Lightning, integrazioni di wallet e nodi self-hosted abbia ampliato la superficie d'attacco oltre il livello base di Bitcoin.
La vulnerabilità e la rotazione automatica delle credenziali
BTCPay ha spiegato che la vulnerabilità consentiva a un aggressore remoto non autenticato di ottenere file di credenziali "macaroon" — i token di autenticazione usati per controllare LND, una delle principali implementazioni del Lightning Network. Con queste credenziali esposte, gli aggressori avrebbero potuto prendere il controllo di un nodo LND e trasferirne i fondi.
L'avviso di sicurezza ufficiale di BTCPay afferma che la versione 2.4.2 installa LND versione 0.21.1 e rigenera automaticamente le credenziali macaroon nelle installazioni BTCPay standard.
Il progetto ha consigliato a tutti gli operatori di verificare segni di compromissione, inclusi pagamenti non autorizzati, chiusure di canali inattese, peer non familiari e discrepanze tra i loro registri e i saldi on-chain o Lightning.
Gli operatori che espongono LND tramite un proprio reverse proxy, servizio Tor, porta inoltrata o qualsiasi altro percorso esterno a BTCPay devono ruotare le proprie credenziali separatamente. Installare l'aggiornamento di BTCPay da solo non chiude i percorsi di accesso gestiti in modo indipendente dall'operatore, ha osservato il progetto.
Gli operatori segnalano perdite
Almeno due operatori hanno segnalato pubblicamente perdite derivanti dall'exploit.
Zach Herbert, CEO del produttore di hardware wallet Foundation, ha dichiarato che il nodo Lightning dell'azienda è stato svuotato durante la notte. In seguito ha chiarito che il suo hot wallet non è stato प्रभावित, mentre i canali Lightning erano stati chiusi e i fondi trasferiti.
La pubblicazione Bitcoin Citadel21 ha inoltre riportato separatamente che anche il proprio nodo Lightning era stato svuotato. Nessuno dei due operatori ha divulgato l'importo specifico perso.
Correlato: L'exploit di Coldcard porta le perdite di luglio a $247M, il secondo peggior mese del 2026