BTCPay Server confirmó que los atacantes explotaron una falla crítica para robar fondos de los usuarios que ejecutan cualquier versión anterior a 2.4.2 y urgió a los operadores a actualizar de inmediato.
El procesador de pagos de Bitcoin autoalojado lanzó la versión 2.4.2 para cerrar la vulnerabilidad. El problema permitía a un atacante remoto no autenticado obtener archivos de credenciales .macaroon para LND, una implementación común de Lightning Network.
Lo que los usuarios de BTCPay Server deben hacer
Las credenciales robadas podrían darle a un atacante control total de un nodo LND. Desde allí, el atacante podría mover fondos directamente fuera del nodo.
“Hemos confirmado que los atacantes explotaron esta vulnerabilidad. Los usuarios se vieron afectados y se robaron fondos. No estamos publicando detalles técnicos aún porque los operadores todavía necesitan tiempo para actualizar”, dijo el equipo.
Síguenos en X para obtener las últimas noticias a medida que suceden
El riesgo se aplica específicamente a las implementaciones que utilizan LND. Otras configuraciones de Lightning y usuarios que no utilizan Lightning no enfrentan exposición de credenciales, aunque el proyecto aún les urgió a actualizar. Las propias billeteras en cadena y calientes de BTCPay Server permanecen sin afectar.
Los operadores que utilizan LND deben actualizar a la versión 2.4.2 y LND 0.21.1 a través del panel de mantenimiento. La actualización regenera los macaroons automáticamente. A aquellos que no puedan aplicar el parche de inmediato se les dijo que desconectaran sus servidores.
El proyecto también aconsejó a los usuarios de LND que revisaran la actividad del nodo en busca de pares desconocidos, cierres de canales inesperados y pagos que no realizaron.
Un segundo golpe a la auto-custodia de Bitcoin
La divulgación sigue a otro importante incidente de seguridad. Galaxy Research confirmó el viernes que se han robado 1,719 Bitcoin (BTC), por un valor de aproximadamente $111 millones, de usuarios de Coldcard hasta ahora. La firma espera que las pérdidas totales superen los $130 millones una vez que se verifiquen los casos pendientes.
Ninguno de los incidentes afectó al protocolo de Bitcoin en sí. Ambos expusieron debilidades en las herramientas construidas a su alrededor.
Suscríbete a nuestro canal de YouTube para ver a líderes y periodistas proporcionar información experta
Fuente: BeInCrypto
