Sympatycy BTCPay Server zobowiązali się do ufundowania nagrody w wysokości do trzech bitcoinów za odzyskanie środków skradzionych poprzez niedawno ujawnioną lukę w otwartoźródłowym procesorze płatności bitcoin — poinformował projekt w oświadczeniu.

BTCPay Server to samodzielnie hostowany procesor płatności, który pozwala sprzedawcom przyjmować płatności w Bitcoin bez polegania na pośrednikach trzecich, a luka ta uwypukla wyzwania, przed jakimi stoi nawet infrastruktura non-custodial w przypadku naruszenia zarządzania poświadczeniami.

Nagroda została ustalona na poziomie 10 procent odzyskanej kwoty, z górnym limitem trzech monet w przypadku pełnego odzyskania. Projekt skierował ofertę bezpośrednio do atakującego, a także do każdej innej osoby dysponującej istotnymi informacjami, wskazując dedykowany adres bezpieczeństwa i oferując komunikację przez Signal lub inne szyfrowane kanały na życzenie.

W zeszłym tygodniu atakującym udało się wydobyć poświadczenia administratora macaroon sieci Lightning z dotkniętych instancji BTCPay Server. Macaroony Lightning to tokeny autoryzacyjne przyznające kontrolę nad węzłem Lightning, co oznacza, że każdy posiadający poświadczenia na poziomie administratora mógł przenosić środki kierowane przez ten węzeł. Projekt opublikował szczegóły techniczne i wytyczne naprawcze w osobnym biuletynie bezpieczeństwa.

„Do użytkowników, którzy stracili środki: jesteśmy nam przykro” — stwierdził projekt. „Przeanalizujemy nasze błędy, ale sama skrucha nie pomoże poszkodowanym użytkownikom ani nie zabezpieczy projektu. Nie ma czasu do stracenia. Musimy się uczyć, ulepszać i działać szybko.”

Fundacja BTCPay Server poinformowała, że przekaże darowiznę w wysokości 0,21 bitcoina twórcy Sparrow Wallet Craigowi Rawowi oraz dodatkowe 0,21 bitcoina do funduszu Bitcoin Red Team w uznaniu za odpowiedzialne ujawnienie luki.

Osobno projekt oświadczył, że kontaktowały się z nim zespoły ds. bezpieczeństwa z giełd, firm zajmujących się analizą blockchain oraz agencji ścigania, oferując pomoc w śledzeniu skradzionych monet.

Poszkodowani użytkownicy, którzy jeszcze się nie zgłosili, są proszeni o udostępnienie adresów on-chain i szczegółów transakcji, złożenie zgłoszeń lokalnym organom oraz poinformowanie każdej giełdy lub usługi, w której środki mogą się pojawić. Indywidualne zgłoszenia pomagają zachować dokumentację i ustanowić łańcuch dowodów, co zwiększa szanse na zamrożenie środków — zaznaczył projekt.

Projekt ostrzegł również, że ulepszające się modele sztucznej inteligencji sprawiają, że przeszukiwanie dużych baz kodu pod kątem luk staje się szybsze i tańsze dla przeciwników, co przesuwa przewagę na stronę atakujących. Projekty związane z Bitcoin odczuwają to jako pierwsze, ponieważ stanowią niezwykle cenne cele — wynika z oświadczenia.