BTCPay restringe el acceso remoto a Lightning después de que atacantes robaran fondos

El servidor BTCPay ha restringido temporalmente las conexiones remotas públicas a los nodos de la red Lightning que ejecutan el software Lightning Network Daemon (LND) después de que los atacantes explotaron una vulnerabilidad crítica para obtener credenciales y mover fondos.

BTCPay dijo que la restricción evita que las billeteras externas, como Zeus, se conecten a través de un dominio del servidor BTCPay o una dirección de cebolla de Tor en implementaciones de Docker. BTCPay señaló que los pagos con Lightning pueden continuar y que planea restaurar la opción de acceso remoto cuando lo considere seguro.

La versión 2.4.2 instala la versión 0.21.1 de LND y regenera automáticamente las credenciales de macaroon en instalaciones estándar de BTCPay. El proyecto aconsejó a los operadores que verifiquen pagos no autorizados, cierres de canales inesperados, pares desconocidos y discrepancias en sus saldos en la cadena o en Lightning.

El incidente de seguridad de BTCPay es el último incidente de seguridad que involucra a productos de Bitcoin ampliamente utilizados, después de una falla en la billetera de hardware Coldcard vinculada a más de 100 millones de dólares en pérdidas confirmadas. Los incidentes separados afectaron el software que rodea a Bitcoin en lugar del protocolo subyacente de la red.

La actualización gira automáticamente las credenciales de Lightning

BTCPay dijo que la vulnerabilidad permitió a un atacante remoto no autenticado obtener archivos de credenciales "macaroon" utilizados para controlar LND, una implementación de la red Lightning. El proyecto señaló que las credenciales expuestas podrían permitir a los atacantes tomar el control de un nodo LND y mover sus fondos.

Según el aviso de seguridad del proyecto, la versión 2.4.2 instala la versión 0.21.1 de LND y regenera automáticamente las credenciales de macaroon en instalaciones estándar de BTCPay. Aconsejó a los operadores que verifiquen pagos no autorizados, cierres de canales inesperados, pares desconocidos y discrepancias entre sus registros y los saldos en la cadena o en Lightning.

BTCPay también dijo que los operadores que exponen LND a través de su propio proxy inverso, servicio de Tor, puerto adelantado o otra ruta fuera de BTCPay deben girar sus credenciales por separado. El proyecto dijo que instalar la actualización no cierra las rutas de acceso administradas de forma independiente por el operador.

Al menos dos operadores informaron públicamente pérdidas. El CEO de Foundation, Zach Herbert, dijo que el nodo Lightning de la empresa de billeteras de hardware se agotó durante la noche. Él más tarde aclaró que su billetera caliente no se vio afectada, mientras que sus canales Lightning se cerraron y los fondos se retiraron.

La publicación de Bitcoin Citadel21 también informó que su nodo Lightning había sido retirado. Ninguno de los operadores reveló la cantidad perdida.