BTCPay מבקשת מסוחרים לכבות שרתים אחרי דיווחים על ריקון ארנקים חמים בגרסה 2.4.1 ומטה

BTCPay Server, תוכנת הקוד הפתוח שבה עסקים משתמשים כדי לקבל תשלומים בביטקוין, ביקשה ביום ראשון מכל מי שמפעיל שרת לכבות אותו עד לסיום החקירה. ההודעה יצאה אחרי דיווחים על תוקפים לא מורשים שמרוקנים ארנקים חמים המחוברים לשרתים. בהמשך (לפי Decrypt עוד באותו יום ראשון, לפי Cointelegraph ביום שני) צמצם הפרויקט את התמונה. וקטור התקיפה שזוהה פוגע בשרתים שמריצים את גרסה 2.4.1 או גרסאות ישנות ממנה, ואין דיווחים אמינים על ריקון ארנקים אצל מי שכבר עבר לגרסה 2.4.7.

גרסה 2.4.7 קיימת רק מיום חמישי. מי שעדיין מריץ את 2.4.1 או גרסה ישנה ממנה, כלומר גרסה מהקיץ, נמצא בקבוצה שהפרויקט מזהה כיעד התקיפה.

מעדכון החירום ועד פקודת הכיבוי

רצף האירועים מסביר את התגובה הגורפת:

• 23 ביולי: שחרור גרסה 2.4.1, הגרסה שהפרויקט מזהה כעת כגבול העליון של השרתים הפגיעים.
• אוגוסט: BTCPay מזהירה שחולשה קריטית בכל הגרסאות שקודמות ל־2.4.2 מנוצלת בפועל. לפי Cointelegraph, התקיפה ההיא השיגה פרטי גישה ל־LND, תוכנת הצומת של רשת הלייטנינג, וגנבה כספים, ובעקבותיה הוגבלה הגישה המרוחקת ללייטנינג.
• יום חמישי: גרסה 2.4.7 משוחררת כעדכון חירום שמתקן חולשה קריטית אחת וכמה חולשות בדרגת חומרה בינונית. לפי הפרויקט, החולשות הגיעו לידיעתו דרך סורק תוכנות הקוד הפתוח של Anthropic.
• יום ראשון, 17:25 לפי שעון החוף המזרחי: הודעה ברשת X שמבקשת לכבות כל שרת באמצעות הפקודה ./btcpay-down.sh.
• כשעתיים אחר כך: המייסד ניקולא דורייה (Nicolas Dorier) מסר שהדיווחים נוגעים לגרסאות שקודמות ל־2.4.2, ושהתוקף התחבר לשרתים שנפגעו עם הרשאות מנהל.
• בהמשך: הפרויקט מודיע שזיהה את וקטור התקיפה נגד גרסה 2.4.1 ומטה ומבקש מנפגעים לשלוח פרטים ולוגים לצוות האבטחה.

BTCPay לא אמרה אם התקיפה הנוכחית מנצלת את החולשות שתוקנו ביום חמישי, ולפי Cointelegraph גם לא ברור אם יש קשר לחולשה מאוגוסט. הפרויקט לא פרסם כמה שרתים נפגעו, כמה ביטקוין נלקח או פרטים טכניים על דרך הפעולה של התוקפים.

למה דווקא הארנק החם נפגע

BTCPay היא תוכנה שכל סוחר מתקין על שרת משלו. אין מפעיל מרכזי שיכול ללחוץ על כפתור ולכבות את כל המופעים, ולכן הפרויקט נאלץ לפנות לכל מפעיל בנפרד. חלק מספקי האחסון, ביניהם LunaNode, כיבו מופעים של BTCPay באופן אוטומטי כדי למנוע ניצול של גרסאות ישנות.

הסוחר יכול לבחור אם להפעיל ארנק חם. בהגדרה הזו מילות השחזור (seed) של הארנק נשמרות על השרת המחובר לאינטרנט, כך שהתוכנה יכולה לחתום על עסקאות באופן אוטומטי. זה נוח לתשלומים יוצאים, אבל מי שמשיג הרשאות מנהל על השרת מחזיק בפועל גם את הכסף. התיעוד של BTCPay עצמה מסמן את האפשרות הזו במילה "DANGER" ומזהיר שיש לה השלכות אבטחה. סוחר שעובד רק עם כתובות קבלה שנגזרות ממפתח ציבורי, כשהמפתח הפרטי יושב בארנק קר, חשוף פחות לתרחיש שתואר.

איזו גרסה רצה אצלכם

בשורה האמצעית קל לטעות. העובדה שהתוקף הנוכחי מכוון לגרסאות ישנות לא אומרת שגרסה 2.4.5 בטוחה. מי שמריץ כל גרסה שקודמת ל־2.4.7 נשאר בלי התיקון לחולשה הקריטית שטופלה ביום חמישי.

צעדים לעסק ישראלי שמקבל ביטקוין דרך BTCPay

התוכנה חינמית ואינה דורשת גוף מתווך, אבל כל התחזוקה והאבטחה של השרת מוטלות על בעל העסק. אם אתם מפעילים שרת כזה, זה סדר הפעולות הסביר:

1. בדקו את מספר הגרסה בממשק הניהול. אם השרת כבוי, ודאו אם כיביתם אותו בעצמכם או שספק האחסון עשה זאת.
2. אם רצה אצלכם גרסה 2.4.1 ומטה עם ארנק חם, הניחו שמילות השחזור נחשפו. אחרי העדכון ל־2.4.7, צרו ארנק חדש במכשיר נקי והעבירו אליו את היתרה שנשארה. עדכון התוכנה לא מחליף מפתח שכבר דלף.
3. עברו על רשימת המשתמשים בעלי הרשאות מנהל ומחקו כל חשבון שאינכם מזהים, שהרי לפי דורייה התוקף נכנס עם הרשאות כאלה.
4. שמרו לוגים, מזהי עסקאות וצילומי מסך ושלחו אותם לצוות האבטחה של הפרויקט, כפי שהתבקש. אותו תיעוד יעזור גם לרואה החשבון שלכם לבחון את הטיפול המיסויי באובדן, ומדריך המס שלנו מסביר את העקרונות הכלליים.
5. מכאן והלאה, השאירו בארנק החם רק את הסכום שנדרש לתשלומים של כמה ימים, ומשכו את השאר באופן קבוע לאחסון לא מקוון. המדריך שלנו על שמירת ביטקוין בבטחה וגיבוי מילות השחזור מפרט איך לבנות את ההפרדה הזו.

לפי מה שפורסם עד כה, התקיפה מכוונת לארנקים החמים שעל שרתי הסוחרים, ולא לארנקים של לקוחות ששילמו לעסק דרך BTCPay.

תגמול ההחזרה מאוגוסט

אחרי התקיפה באוגוסט, תומכי הפרויקט מימנו תגמול של 10% מכל סכום גנוב שיוחזר, עם תקרה של 3 ביטקוין. התקרה משנה את התמריץ באופן משמעותי. אם תוקף מחזיר 20 ביטקוין, התגמול הוא 2 ביטקוין, בדיוק 10%. אם הוא מחזיר 50 ביטקוין, 10% היו 5 ביטקוין, אבל התקרה עוצרת את התגמול על 3, כלומר 6% בלבד מהסכום. מעל 30 ביטקוין, שיעור התגמול יורד ככל שהסכום הגנוב גדל.

המקורות אינם מזכירים תגמול דומה לסבב הנוכחי, ובלי נתונים על היקף הגניבה קשה להעריך את הנזק. בתוך פחות משלושה חודשים, BTCPay ביקשה פעמיים ממשתמשיה לעדכן או לכבות שרתים בגלל ניצול פעיל של פרצות.