BTCPay Server: Sicherheitsanfälligkeit mit 0,42 BTC Spende und Belohnung für gestohlene Gelder

BTCPay Server, der Open-Source Bitcoin-Zahlungsprozessor, hat kürzlich eine schwerwiegende Sicherheitsanfälligkeit aufgedeckt, die es Angreifern ermöglichte, Lightning Network-Knoten aus der Ferne zu übernehmen, was zu Diebstählen von Geldern führte. Das Problem wurde in der Version 2.4.2 behoben, und das Projekt hat 0,42 BTC an die Forscher gespendet, die den Fehler gemeldet haben.

Die Sicherheitsanfälligkeit betraf BTCPay Server-Implementierungen, die LND Lightning-Knoten verwendeten, wobei Angreifer exponierte .macaroon-Anmeldeinformationen ausnutzten, die den Zugriff auf diese Knoten steuern. Dieser Fehler ermöglichte es unbefugten Benutzern, die vollständige Kontrolle über den Lightning-Knoten eines Opfers zu erlangen, ohne dass Anmeldeinformationen erforderlich waren.

Berichten zufolge fanden Diebstähle bereits vor der Veröffentlichung des Patches statt, obwohl die Gesamtsumme der gestohlenen Gelder nicht bekannt gegeben wurde. Die Kommunikation von BTCPay Server vermied zunächst technische Einzelheiten, um weitere Ausnutzungen zu verhindern, während die Benutzer ihre Systeme aktualisierten.

Craig Raw, der Entwickler hinter Sparrow Wallet, sowie Mitglieder des Bitcoin Red Teams wurden für die verantwortungsvolle Offenlegung der Sicherheitsanfälligkeit anerkannt. In Anerkennung ihrer Bemühungen erhielt BTCPay Server eine Spende von 0,42 BTC.

Zusätzlich zur Spende kündigte BTCPay Server ein Belohnungsprogramm an, das darauf abzielt, gestohlene Gelder zurückzuholen, und bis zu drei Bitcoins für umsetzbare Informationen anbietet, die zur Wiederbeschaffung führen. Das Projekt hat betroffene Benutzer kontaktiert und sie aufgefordert, auf die neueste Softwareversion zu aktualisieren und ihre Knotenaktivitätsprotokolle auf Anzeichen unbefugten Zugriffs zu überprüfen.

BTCPay Server hat sein Engagement bekundet, aus diesem Vorfall zu lernen und Sicherheitsmaßnahmen zu verbessern, um seine Benutzer in Zukunft zu schützen.