Aanvaller logde in als admin op verouderde BTCPay-servers vóór leegingen van hot wallets, zegt oprichter
Belangrijkste punten
- •De leegingen van hot wallets op zondag richtten zich volgens de onderzoeksupdate van het project op BTCPay Server-instanties met versie 2.4.1, uitgebracht op 23 juli, of eerder.
- •BTCPay gaf een waarschuwing uit met de oproep alle instanties uit te schakelen en meldde geen geloofwaardige leeggingen bij gebruikers op versie 2.4.7, die op 29 oktober werd uitgebracht.
- •Bij de gemelde inbraken logden aanvallers in als administrator, en BTCPay heeft nog niet vastgesteld hoe die toegang is verkregen.
- •Versie 2.4.2, uitgebracht op 7 augustus, dichtte een actief misbruikt gebrek waarmee niet-geauthenticeerde aanvallers LND-macaroon-referenties konden stelen en Lightning-nodes konden overnemen, maar BTCPay heeft niet bevestigd of die bug zondag werd gebruikt, waarbij het project opmerkte dat de bug van augustus geen authenticatie vereiste terwijl de aanvallen van zondag administrator-logins betroffen.
- •Dorier zei dat beheerders die sinds de uitgifte van 2.4.2 ten minste één keer hebben bijgewerkt geen reden tot paniek hebben, terwijl hij gebruikers waarschuwde niet te veel op een hot wallet te houden.
Leegingen van hot wallets die zondag werden gemeld, lijken zich te hebben gericht op BTCPay Server-instanties met releases ouder dan versie 2.4.2, aldus Nicolas Dorier, oprichter van BTCPay Server. In die gevallen logde de aanvaller in als administrator, en het team zei nog te onderzoeken hoe die toegang is verkregen.
Onderzoek wijst op 2.4.1 of eerder
BTCPay gaf zondag om 23:25 uur (5:25 p.m. ET) een waarschuwing uit, geplaatst op X, met de oproep aan iedereen die een instantie draait deze uit te schakelen met ./btcpay-down.sh tot het onderzoek is afgerond. Dorier volgde ruim twee uur later op, met de mededeling dat BTCPay's eigen publieke servers, met versie 2.4.7, niet waren aangevallen. Hij zei later dat het team sporen had die erop wezen dat "kwetsbaarheden van vóór 2.4.2 waren gebruikt."
Een update die BTCPay om 5:07 uur (11:07 p.m. ET) plaatste (hier en hier) verkleinde het doelgebied: onderzoekers identificeerden een aanvalsvector gericht op instanties met versie 2.4.1, uitgebracht op 23 juli, of eerder.
Het project meldde "geen geloofwaardige meldingen van leeggingen van hot wallets" bij gebruikers op 2.4.7, die op 29 oktober werd uitgebracht. Het adviseerde beheerders de software bijgewerkt te houden en verzocht slachtoffers details en logbestanden naar het beveiligingsteam te sturen.
Sommige hostingproviders kunnen instanties automatisch hebben uitgeschakeld om te voorkomen dat oudere versies werden misbruikt. BTCPay bedankte LunaNode en anderen voor hun snelle actie. Dorier zei dat beheerders die sinds de uitgifte van 2.4.2 ten minste één keer hebben bijgewerkt "geen reden tot paniek" hebben, terwijl hij gebruikers waarschuwde niet te veel op een hot wallet te houden en een blogpost met meer detail aankondigde.
De leegingen van zondag bereikten fondsen die het advies van augustus als veilig had aangemerkt
Omdat BTCPay zelf gehost wordt, kan het project de server van een handelaar niet wijzigen of uitschakelen. De hot-walletmodus ondertekent betalingen met een seed die op die server is opgeslagen, wat betekent dat wie de server beheert de munten kan verplaatsen, aldus de documentatie van BTCPay. In de praktijk beschermt een beveiligingsrelease zoals 2.4.2 een bepaalde server pas zodra de beheerder deze installeert.
Versie 2.4.2 stamt uit augustus. BTCPay bracht 2.4.2 op 7 augustus uit om een kritieke kwetsbaarheid te dichten die al actief werd aangevallen, zoals Cryptopolitan destijds meldde. Elke eerdere release, inclusief 2.4.2-release candidates, stond een niet-geauthenticeerde aanvaller toe LND-macaroon-referenties te stelen, waarmee een aanvaller een Lightning-node kon overnemen en de fondsen kon verplaatsen. Het project beschreef de patch in zijn beveiligingsadvies. Foundation en Citadel21 meldden aanvallen op hun Lightning-nodes, en Craig Raw, ontwikkelaar van Sparrow Wallet, zei eveneens getroffen te zijn.
Met de release van 2.4.2 werden de LND-macroons automatisch opnieuw gegenereerd. Beheerders die LND blootstelden via hun eigen proxy, Tor-service of een doorgestuurde poort moesten die referenties nog handmatig wijzigen. Versie 2.4.2 dichtte ook een aparte TOTP-tweefactoromzeiling via de Basic Authentication van de Greenfield API, gemeld op 4 augustus. BTCPay zei dat die bug niets te maken had met de macaroon-hack en dat de eigen on-chain wallets, inclusief hot wallets, niet door dat gebrek waren getroffen.
Noch BTCPay noch Dorier heeft gezegd of de aanvaller van zondag de macaroon-bug van augustus misbruikte of een andere kwetsbaarheid van vóór 2.4.2. De macaroon-bug van augustus was misbruikbaar zonder enige authenticatie; de inbraken van zondag betroffen daarentegen administrator-logins. In augustus stelden achterbanen een herstelbounty beschikbaar van 10% van de teruggegeven fondsen, tot maximaal 3 BTC, zoals Cryptopolitan meldde. Onafhankelijk daarvan meldde River dat het gemiddelde gebruik van Bitcoin door handelaren in 2025 met 74% groeide, waarbij het Lightning-volume de $1 miljard per maand overschreed — precies het soort betalingsactiviteit van handelaren waar zelf gehoste software zoals BTCPay voor is gebouwd.
