BTCPay Server ได้ยืนยันว่า ผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่ร้ายแรงเพื่อลักขโมยเงินของผู้ใช้ที่ใช้เวอร์ชันก่อนหน้า 2.4.2 และจึงขอให้ผู้ปฏิบัติงานรีบอัปเดตทันที
ระบบรับชำระเงิน Bitcoin ที่โฮสต์ด้วยตนเองนี้ได้ออกเวอร์ชัน 2.4.2 เพื่อปิดช่องโหว่ดังกล่าว ซึ่งช่องโหว่นี้เปิดโอกาสให้ผู้โจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตนสามารถเข้าถึงไฟล์ .macaroon สำหรับ LND ซึ่งเป็นระบบ Lightning Network ที่นิยมใช้งาน
สิ่งที่ผู้ใช้ BTCPay Server ต้องทำ
ข้อมูลรับรองที่ถูกขโมยไปนั้นสามารถทำให้ผู้โจมตีได้สิทธิ์ควบคุมโหนด LND อย่างสมบูรณ์ และจากจุดนั้นผู้โจมตีอาจโอนเงินออกจากโหนดโดยตรง
ทางทีมงานกล่าวว่า เราได้ยืนยันแล้วว่า ผู้โจมตีได้ใช้ช่องโหว่นี้จริง ผู้ใช้บางรายได้รับผลกระทบและเงินถูกขโมยไป เราจะยังไม่เปิดเผยรายละเอียดทางเทคนิค เพราะผู้ปฏิบัติงานยังต้องใช้เวลาในการอัปเดตระบบ
ติดตามเราได้บน X เพื่อรับข่าวสารล่าสุดแบบเรียลไทม์
ความเสี่ยงนี้มีผลกับการติดตั้งที่ใช้ LND โดยเฉพาะ สำหรับผู้ใช้ Lightning รูปแบบอื่น รวมถึงผู้ที่ไม่ได้ใช้งาน Lightning จะไม่ได้เสี่ยงต่อการเปิดเผยข้อมูลรับรอง แม้ว่าทางโครงการจะยังแนะนำให้ทุกคนอัปเดตก็ตาม ทั้งนี้ กระเป๋าแบบ on-chain และ hot wallets ของ BTCPay Server เองไม่ได้รับผลกระทบ
ผู้ให้บริการที่ใช้ LND ควรอัปเดตเป็นเวอร์ชัน 2.4.2 และ LND 0.21.1 ผ่านแดชบอร์ดดูแลระบบ โดยการอัปเดตนี้จะสร้างไฟล์ macaroon ขึ้นใหม่โดยอัตโนมัติ สำหรับผู้ที่ยังไม่สามารถอัปเดตได้ทันที ขอให้นำเซิร์ฟเวอร์ออกจากระบบชั่วคราว
โครงการยังแนะนำให้ผู้ใช้ LND ตรวจสอบกิจกรรมโหนดว่า มีการเชื่อมต่อกับเพียร์แปลกหน้า ปิดช่องทางแบบไม่คาดคิด หรือมีธุรกรรมที่ตนเองไม่ได้ทำหรือไม่
ผลกระทบรอบสองต่อการดูแล Bitcoin ด้วยตัวเอง
การเปิดเผยครั้งนี้เกิดขึ้นหลังจากมี เหตุการณ์ด้านความปลอดภัยครั้งใหญ่อีกครั้ง โดย Galaxy Research ได้ยืนยันเมื่อวันศุกร์ว่า มี Bitcoin (BTC) จำนวน 1,719 เหรียญ คิดเป็นมูลค่าประมาณ 111 ล้าน USD ถูกขโมยไปจากผู้ใช้ Coldcard แล้ว และบริษัทคาดว่ามูลค่าความเสียหายทั้งหมดจะเกิน 130 ล้าน USD เมื่อกรณีที่ยังไม่ตรวจสอบได้รับการยืนยัน
ไม่มีเหตุการณ์ใดที่ส่งผลกระทบต่อโปรโตคอล Bitcoin โดยตรง แต่ทั้งสองเหตุการณ์ได้เปิดเผยจุดอ่อนในเครื่องมือที่สร้างขึ้นโดยรอบเทคโนโลยีดังกล่าว
สมัครรับข้อมูลช่อง YouTube ของเรา เพื่อรับชมผู้นำและนักข่าวให้ข้อมูลเชิงลึกโดยผู้เชี่ยวชาญ
