дата публікації

Зловмисні боти активно сканують відкрите сервери оплати Bitcoin, щоб вкрасти майстер-адміністративні ключі

джерело

Платіжний процесор Bitcoin BTCPay Server попередив, що боти виявляють відкриті вузли Lightning у пошуках можливості отримання адміністративного контролю.

Ця активність виникає після нещодавньої вразливості в BTCPay, яка була використана зловмисниками для отримання даних для захисту LND вузлів і викрадення коштів з гаманців торговців. BTCPay вимкнув зовнішній доступ до LND у стандартному середовищі Docker.

Тепер автоматизовані системи націлені на сервери, де оператори вручну відновили доступ, повторно викликаючи метод зміни пароля LND.

Цей новий механізм відрізняється від вразливості, яка була використана в серпні, проте може призвести до аналогічних наслідків: отримання зловмисниками даних для контролю над LND вузлом. BTCPay повідомив, що загроза виникає під час короткого проміжку часу після перезапуску LND, коли гаманець залишається заблокованим.

У цей період метод зміни пароля не потребує macaroon, що зазвичай використовується для авторизації адміністративних дій. Старі гаманці BTCPay LND підвищують ризик, оскільки використовують спільний пароль за замовчуванням.

Якщо зловмисник зможе отримати доступ до інтерфейсу до того, як внутрішній розблокувальник BTCPay виконає свою роботу, він може подати цей пароль, замінити його та запросити macaroon адміністратора. BTCPay не повідомляв про успішні випадки захоплення через нову активність, і не пов'язував ботів із зловмисниками, які стояли за крадіжкою в серпні.

BTCPay зміцнив захист вузлів після крадіжки в серпні, визнавши, що зловмисники скористалися вразливістю, яка торкнулася всіх версій до 2.4.2.

Нова версія 2.4.4, випущена 7 вересня, вирішує умови, що лежать в основі останньої атаки, впроваджуючи унікальні паролі для нових гаманців LND. BTCPay закликав адміністративних користувачів встановлювати версію 2.4.4 та усувати вручну відкриті маршрути LND.

Наразі особливу увагу слід приділити кастомним розгортанням, оскільки оператори, які їх використовують, повинні перевірити свої правила проксі та перевести віддалені з'єднання під управління BTCPay.