BTCPay Server heeft voorlopig het gebruik van openbare externe verbindingen naar Lightning Network-nodes, die draaien op de Lightning Network Daemon (LND) software, beperkt. Deze beslissing kwam nadat aanvallers een kritieke kwetsbaarheid hadden benut om toegang te krijgen tot inloggegevens en om fondsen te verplaatsen. Door deze maatregel kunnen externe portemonnees, zoals Zeus, zich niet meer verbinden via een BTCPay Server-domein of een Tor-onionadres binnen Docker-implementaties. BTCPay heeft bevestigd dat Lightning-betalingen blijven functioneren en dat de toegang op afstand zal worden hersteld zodra het veilig wordt geacht.
De recentste update, versie 2.4.2, installeert LND versie 0.21.1 en genereert automatisch nieuwe macaroon-credentials (deze credentialbestanden worden gebruikt om toegang te krijgen tot en controle te hebben over de LND-node) op standaardinstallaties van BTCPay. Het project adviseert gebruikers om hun ongevraagde betalingen, onverwachte kanaalsluitingen, onbekende peers en eventuele discrepanties in hun on-chain of Lightning-balansen nauwkeurig te controleren.
De inbreuk op BTCPay is slechts de nieuwste in een reeks beveiligingsincidenten die invloed hebben gehad op veelgebruikte Bitcoin-producten. Dit volgt op een kwetsbaarheid in de Coldcard-hardwareportemonnee, waarbij meer dan $100 miljoen aan bevestigde verliezen werd gerapporteerd. Deze incidenten hebben de software rondom Bitcoin getroffen, in plaats van de onderliggende protocollen van het netwerk zelf.
BTCPay heeft verklaard dat de kwetsbaarheid het mogelijk maakte voor een ongeauthenticeerde externe aanvaller om toegang te krijgen tot de macaroon-credentialbestanden die essentieel zijn voor de controle over de LND. Volgens de beveiligingsadviezen van het project kunnen deze blootgestelde inloggegevens aanvallers de controle over een LND-node geven en hen in staat stellen om fondsen te verplaatsen.
Versie 2.4.2 installeert LND versie 0.21.1 en zorgt ervoor dat macaroon-credentials automatisch worden gehergeneerd tijdens standaardinstallaties van BTCPay. Het project heeft daarnaast gebruikers aangespoord om alert te zijn op ongeautoriseerde betalingen, onverwachte sluitingen van kanalen, onbekende peers en verschillen tussen hun eigen registraties en balances op chain of Lightning.
Er zijn ten minste twee operators die publiekelijk hun verliezen hebben gerapporteerd. Zach Herbert, CEO van Foundation, aangaf dat de Lightning-node van zijn hardware-portemonnee ’s nachts was uitgeput. Later verduidelijkte hij dat hun hot wallet niet was aangetast, maar dat de Lightning-kanalen waren gesloten en de fondsen waren weggehaald. De publicatie Citadel21 meldde ook dat hun Lightning-node was leeggeroofd, maar geen van beide operators maakte het verloren bedrag bekend.
Vraag & Antwoord
Wat zijn macaroon-credentials en waarom zijn ze belangrijk?
Macaroon-credentials zijn beveiligingsbestanden die toegang tot een Lightning Network Daemon (LND) node regelen. Ze stellen gebruikers in staat transacties uit te voeren en hun funds te beheren. Een kwetsbaarheid hierin kan leiden tot aanzienlijke financiële verliezen.
Hoe kan de BTCPay-beveiligingsinbreuk investeerders beïnvloeden?
De inbreuk kan het vertrouwen in de beveiliging van veelgebruikte Bitcoin-tools aantasten, wat op zijn beurt invloed kan hebben op de adoptie en de waarde van cryptocurrency. Investeerders moeten extra voorzichtig zijn bij hun transacties en het gebruik van deze platforms.
Wat moeten operators doen om zichzelf te beschermen?
Operators dienen hun macaroon-credentials regelmatig te roteren, updates voor hun software onmiddellijk te installeren en hun on-chain en Lightning-balansen kritisch te monitoren om ongewenste activiteiten vroegtijdig te signaleren.
Een reactie achterlaten