Luka w BTCPay Server, otwartoźródłowym, samodzielnie hostowanym procesorze płatności Bitcoin, została aktywnie wykorzystana do opróżnienia środków z węzłów Lightning Network merchantów, co skłoniło deweloperów platformy do wydania pilnego ostrzeżenia bezpieczeństwa.

BTCPay Server, uruchomiony w 2017 roku jako alternatywa odporna na cenzurę dla scentralizowanych procesorów płatności, umożliwia merchantom bezpośrednie przyjmowanie płatności Bitcoin bez pośredników. Platforma integruje się z siecią Lightning Network — rozwiązaniem skalowania warstwy 2 zbudowanym na bazie blockchain Bitcoin, które umożliwia szybsze i tańsze transakcje poprzez off-chain kanały płatności. Adopcja Lightning Network rośnie stabilnie od uruchomienia sieci, a tysiące węzłów na całym świecie routuje płatności, co oznacza, że luki bezpieczeństwa w powszechnie używanych implementacjach mogą wpłynąć na szeroką grupę merchantów i użytkowników.

W komunikacie bezpieczeństwa BTCPay wezwał wszystkich użytkowników korzystających z implementacji LND (Lightning Network Daemon) do natychmiastowej aktualizacji serwerów do wersji 2.4.2 lub ich całkowitego wyłączenia. Zgodnie z informacjami od deweloperów, atakujący uzyskali dostęp do danych uwierzytelniających, które mogły zostać wykorzystane do kontrolowania podłączonych portfeli Lightning i przemieszczania środków bez autoryzacji. Luka jest szczególnie znacząca, ponieważ konfiguracje samodzielnie hostowane, takie jak BTCPay, są często wybierane właśnie ze względu na ich właściwości samoprzechowywania — merchantzy kontrolują własne klucze prywatne zamiast polegać na zewnętrznym depozycie — jednak ta usterka pokazuje, że bezpieczeństwo operacyjne w warstwie aplikacji pozostaje krytycznym ryzykiem nawet w konfiguracjach non-custodial.

LND, opracowany przez Lightning Labs, jest jedną z trzech głównych implementacji Lightning Network obok Eclair i c-lightning. Jest to najbardziej rozpowszechniona implementacja wśród wdrożeń BTCPay Server, co sprawia, że wpływ ewentualnej luki specyficznej dla LND jest proporcjonalnie większy w tym ekosystemie.

Komunikat poinstruował poszkodowanych użytkowników o podjęciu kilku kroków diagnostycznych:

• Sprawdzenie płatności, których nie zainicjowali.
• Poszukiwanie nieoczekiwanych zamknięć kanałów lub połączeń z nieznanymi peerami.
• Porównanie sald on-chain i kanałowych z własnymi zapisami.
• Zbadanie wszelkiej aktywności, której nie można wyjaśnić.

Incydent jest najnowszym w serii problemów bezpieczeństwa dotykających infrastrukturę płatności Bitcoin, co podkreśla ryzyka istniejące poza samym blockchainem Bitcoin. W miarę jak merchantzy coraz bardziej polegają na oprogramowaniu stron trzecich i węzłach Lightning Network do przetwarzania płatności, luki w tych warstwach wspierających mogą narażać środki na kradzież, nawet gdy bazowy protokół Bitcoin pozostaje bezpieczny. Wcześniejsze ujawnienia dotyczące LND i innych implementacji Lightning doprowadziły do skoordynowanych wysiłków łatania, co podkreśla, że bezpieczeństwo płatności opartych na Lightning zależy nie tylko od integralności warstwy bazowej Bitcoin, ale także od bieżącej konserwacji oprogramowania, które merchantzy i operatorzy węzłów decydują się uruchamiać.