Kurzfassung

  • Unterstützer von BTCPay Server bieten 10% der wiederhergestellten Gelder, begrenzt auf 3 BTC.
  • Angreifer stahlen Bitcoin mit Zugangsdaten, die von verwundbaren LND-Servern erlangt wurden.
  • Benutzer, die betroffene Software ausführen, sollten sofort auf Version 2.4.2 aktualisieren.

Unterstützer von BTCPay Server bieten 10% aller wiederhergestellten Gelder, begrenzt auf 3 BTC (derzeit etwa 190.000 US-Dollar wert), wenn das gesamte bei einem kürzlichen Exploit gestohlene Bitcoin zurückgegeben wird.

In einem Beitrag auf X am Montag sagte BTCPay, dass das Angebot für jeden gilt, der Informationen hat, die zur Wiederherstellung der Gelder beitragen könnten, einschließlich des Angreifers.

„Wir werden unsere Fehler untersuchen, aber Reue allein wird betroffenen Benutzern nicht helfen oder das Projekt sichern“, schrieb das Unternehmen. „Es gibt keine Zeit zu verlieren. Wir müssen lernen, uns verbessern und schnell handeln.“

BTCPay warnte Benutzer erstmals am Freitag vor den Angriffen und forderte sie auf, eine neue Version, 2.4.2, zu installieren oder ihre Server offline zu nehmen. Zu diesem Zeitpunkt hatte das Projekt keine Diebstähle bestätigt oder erklärt, wie der Exploit funktionierte.

Laut BTCPay ermöglichte der Fehler Angreifern, LND-Admin-Macarons zu erhalten – Anmeldeinformationen, die umfassende Kontrolle über einen Lightning-Network-Knoten gewähren – und sie zu verwenden, um auf verbundene Wallets zuzugreifen. Das Lightning Network ist ein Layer-2-Zahlungsnetzwerk, das auf der Bitcoin-Blockchain aufbaut und schnellere und günstigere Transaktionen ermöglicht. Lightning-Network-Knoten leiten Zahlungen über Kanäle zwischen Benutzern weiter.

BTCPay hat nicht offengelegt, wie viel Bitcoin gestohlen wurde, wie viele Benutzer betroffen waren oder ob Gelder wiederhergestellt wurden.

Wenn mehrere Hinweise zur Wiederherstellung der Gelder beitragen, wird die Belohnung in Abstimmung mit den Opfern aufgeteilt. Das Projekt erklärte, es werde die Verluste jedes Opfers, den wiederhergestellten Betrag und die Nützlichkeit jedes Hinweises berücksichtigen.

Die BTCPay Server Foundation wird außerdem jeweils 0,21 BTC an den Sicherheitsforscher Craig Raw und den Bitcoin Red Team-Fonds spenden, für die verantwortungsvolle Offenlegung der Schwachstelle.

„Dies sind bescheidene Beiträge, aber sie sind das, was wir als FOSS-Projekt bieten können, und eine Möglichkeit, Menschen zu würdigen, die kritische Sicherheitsarbeit leisten, die dem gesamten Ökosystem hilft“, schrieb BTCPay.