cointelegraph-ru.com
BTCPay Server временно ограничил публичный удалённый доступ к узлам сети Lightning на базе Lightning Network Daemon (LND) после того, как злоумышленники воспользовались критической уязвимостью, получили учётные данные и вывели средства.
BTCPay заявил что ограничение не позволяет внешним кошелькам, таким как Zeus, подключаться через домен BTCPay Server или Tor-адрес в Docker-развёртываниях. В компании сообщили, что платежи в Lightning продолжат работать, а удалённый доступ восстановят, когда сочтут это безопасным.
Версия 2.4.2 устанавливает LND 0.21.1 и автоматически обновляет учётные данные macaroon в стандартных установках BTCPay. Проект рекомендовал операторам проверить наличие несанкционированных платежей, неожиданных закрытий каналов, незнакомых пиров и расхождений между учётными записями и ончейн- или Lightning-балансами.
Инцидент с BTCPay стал очередным случаем, затронувшим популярные продукты экосистемы Bitcoin, после уязвимости аппаратного кошелька Coldcard, из-за которой подтверждённые убытки превысили $100 млн. Отдельные инциденты затронули ПО вокруг Bitcoin, а не базовый протокол сети.
Обновление автоматически меняет учётные данные Lightning
BTCPay заявил, что уязвимость позволяла неаутентифицированному удалённому злоумышленнику получить файлы учётных данных macaroon, которые используют для управления LND — реализацией сети Lightning. По данным проекта, скомпрометированные учётные данные могли дать злоумышленникам контроль над узлом LND и доступ к его средствам.
Согласно уведомлению проекта о безопасности, версия 2.4.2 устанавливает LND 0.21.1 и автоматически обновляет учётные данные macaroon в стандартных установках BTCPay. Операторам рекомендовали проверить наличие несанкционированных платежей, неожиданных закрытий каналов, незнакомых пиров и расхождений между учётными записями и ончейн- или Lightning-балансами.
По теме: Эксплойт Coldcard увеличил июльские убытки до $247 млн, сделав месяц вторым худшим в 2026 году
BTCPay также заявил, что операторы, которые предоставляют доступ к LND через собственный обратный прокси, сервис Tor, перенаправленный порт или другой маршрут вне BTCPay, должны отдельно сменить учётные данные. Установка обновления не закрывает маршруты доступа, которыми оператор управляет самостоятельно.
Как минимум два оператора публично сообщили об убытках. Генеральный директор Foundation Зак Херберт заявил что узел Lightning производителя аппаратных кошельков был опустошён за ночь. Позже он уточнил что горячий кошелёк Foundation не пострадал, а Lightning-каналы закрыли и вывели средства. Bitcoin-издание Citadel21 также
сообщило об опустошении своего Lightning-узла. Ни один из операторов не раскрыл сумму убытков. Журнал:
10 самых странных вещей, которые когда-либо токенизировали, — в том числе пердежи.],