Critica vulnerabilità di BTCPay Server svuota i nodi Lightning dei merchant durante la settimana degli exploit di Bitcoin

Una vulnerabilità critica in BTCPay Server ha permesso agli aggressori di sottrarre fondi dai nodi Lightning che eseguono LND, spingendo a istruzioni urgenti per gli operatori di aggiornare alla versione 2.4.2 o di mettere immediatamente offline i propri server.

La vulnerabilità ha consentito l'accesso remoto non autenticato ai file di credenziali ".macaroon" di LND — i token che conferiscono al software l'autorizzazione per interagire con un nodo Lightning LND. Dotati di tali credenziali, gli aggressori potevano assumere il controllo dei nodi interessati, chiudere i relativi canali e prelevare i fondi. BTCPay ha confermato che venerdì sera sono stati sottratti fondi e ha divulgato l'attacco in un post su X.

BTCPay Server è un elaboratore di pagamenti open-source ampiamente diffuso e auto-ospitato che consente ai merchant di accettare pagamenti in bitcoin senza affidarsi a provider di pagamento di terze parti. Per i merchant che dipendono da esso per le attività commerciali quotidiane, la vulnerabilità ha significato che lo stesso strumento progettato per eliminare il rischio di controparte — l'autocustodia dei fondi — è diventato il vettore dell'attacco.

I wallet on-chain standard di BTCPay, inclusi gli hot wallet generati all'interno dell'applicazione, non sono stati interessati dalla vulnerabilità delle credenziali. L'esposizione si applica specificamente alle implementazioni che utilizzano LND, il software più diffuso per gestire un nodo Lightning. Tuttavia, i fondi custoditi nel wallet on-chain di LND stesso rimangono a rischio perché si trovano sotto il controllo del nodo Lightning compromesso.

Il progetto non ha comunicato quanti utenti siano stati colpiti né quanti bitcoin siano stati sottratti.

Vittime note

Il produttore di hardware wallet Foundation è stato tra le vittime. L'amministratore delegato Zach Herbert ha dichiarato che gli aggressori hanno svuotato durante la notte il nodo Lightning BTCPay dell'azienda, chiudendo i relativi canali e prelevando i fondi. L'hot wallet on-chain di BTCPay di Foundation non è stato toccato.

Citadel21, una pubblicazione bitcoin gestita dal commentatore pseudonimo hodlonaut, ha segnalato che anche il suo nodo Lightning era stato svuotato, sebbene abbia precisato che vi erano custodite somme esigue.

Coinvolgimento del Bitcoin Red Team

La vulnerabilità era già stata segnalata a BTCPay dai membri del Bitcoin Red Team — un gruppo di sviluppatori che ha iniziato a dirigere modelli di intelligenza artificiale sui codebase di bitcoin all'inizio della settimana e da allora ha presentato migliaia di segnalazioni su centinaia di progetti. BTCPay ha riconosciuto ai membri del Red Team Craig Raw, Rob Hamilton, Calle ed Evan Kaloudis il merito di aver divulgato responsabilmente il problema e di aver assistito nella sua analisi.

La motivazione dichiarata dal gruppo per la pubblicazione rapida delle scoperte era che ricercatori indipendenti sarebbero inevitabilmente giunti agli stessi bug. Nel momento in cui BTCPay ha emesso il suo avviso pubblico, gli aggressori stavano già sfruttando la vulnerabilità contro server attivi.

Correlato: Gli sviluppatori di Bitcoin segnalano 85 bug critici in una situazione "estremamente grave"

Portata e prossimi passi

BTCPay ha ristretto la portata del suo avviso iniziale, chiarendo che i wallet on-chain standard generati all'interno di BTCPay non sono interessati dalla vulnerabilità delle credenziali. L'esposizione è limitata alle implementazioni che utilizzano LND, sebbene i fondi custoditi nel wallet on-chain di LND stesso possano ancora essere a rischio perché ricadono sotto il nodo Lightning compromesso.

BTCPay non ha ancora pubblicato i dettagli tecnici della vulnerabilità, affermando che gli operatori hanno bisogno di tempo per applicare le patch ai propri sistemi. È attesa un'analisi completa nei prossimi giorni. BTCPay e il Bitcoin Red Team continuano a indagare sull'incidente.

L'exploit si aggiunge a una settimana difficile per la sicurezza del software Bitcoin, questa volta colpendo direttamente i merchant che accettano pagamenti in bitcoin (BTC) attraverso Lightning, un livello separato costruito sopra Bitcoin per trasferimenti istantanei e a basso costo. Con la capacità di Lightning in crescita come infrastruttura di pagamento, le vulnerabilità nell'infrastruttura a cui i merchant si collegano hanno implicazioni più ampie per la fiducia nel bitcoin come mezzo di scambio.