• 공격자들이 BTCPay Server의 치명적인 취약점을 악용하여 LND를 실행 중인 라이트닝 노드에서 자금을 탈취했으며, 이에 따라 버전 2.4.2로의 긴급 업데이트 또는 서버 오프라인 전환이 요구되었습니다.
• 이 결함은 인증되지 않은 상태에서 LND의 “.macaroon” 자격 증명 파일에 접근할 수 있게 하여, 공격자들이 영향을 받은 라이트닝 노드를 제어하고 채널을 비울 수 있게 했습니다. 그러나 BTCPay의 표준 온체인 지갑은 영향을 받지 않았습니다.
• 하드웨어 지갑 제조업체 Foundation과 비트코인 출판사 Citadel21을 포함한 피해자들은 그들의 라이트닝 노드가 공격을 받았다고 보고했으며, BTCPay와 Bitcoin Red Team은 사건에 대한 전체 분석을 준비 중입니다.

비트코인 소프트웨어의 힘든 한 주가 더욱 악화되고 있으며, 이번에는 라이트닝을 통해 비트코인 결제를 받는 상인들이 타격을 입었습니다. 라이트닝은 비트코인 위에 구축된 즉시, 저비용 전송을 위한 별도의 네트워크입니다.

BTCPay Server 뒤에서 실행 중인 라이트닝 노드가 금요일 늦게 공격자들에 의해 자격 증명이 노출된 후 자금이 탈취되었다고 팀이 X 게시물에서 밝혔습니다.

BTCPay는 자금이 도난당했음을 확인하고, 라이트닝 노드를 운영하는 데 가장 널리 사용되는 소프트웨어인 LND를 실행 중인 모든 사람에게 즉시 버전 2.4.2로 업데이트하거나 서버를 오프라인으로 전환할 것을 권고했습니다.

프로젝트는 얼마나 많은 사용자가 피해를 입었는지 또는 얼마나 많은 비트코인이 도난당했는지 공개하지 않았습니다.

이 결함은 인증되지 않은 원격 공격자가 LND 라이트닝 노드와 상호작용할 수 있는 권한을 부여하는 “.macaroon” 파일을 획득할 수 있게 했습니다. BTCPay는 검토한 공격이 이러한 파일을 목표로 했으며, 이를 통해 노드를 제어하고 자금을 이동할 수 있었다고 밝혔습니다.

하드웨어 지갑 제조업체 Foundation은 피해자 중 하나였습니다. 최고 경영자인 Zach Herbert는 공격자들이 회사의 BTCPay 라이트닝 노드를 하룻밤 사이에 비우고 채널을 닫았다고 밝혔습니다. BTCPay 온체인 핫 지갑은 손상되지 않았습니다.

가명 해설자 hodlonaut가 운영하는 비트코인 출판사 Citadel21도 자신의 라이트닝 노드가 비워졌다고 보고했지만, 거기에는 적은 금액만이 보관되어 있었다고 밝혔습니다.

이 취약점은 이미 Bitcoin Red Team의 멤버들에 의해 BTCPay에 보고되었습니다. 이 그룹은 이번 주에 비트코인 코드베이스에 AI 모델을 적용하기 시작했으며, 수백 개의 프로젝트에서 수천 건의 발견을 보고했습니다.

더 읽기: 비트코인 개발자들이 "매우 나쁜" 상황에서 85개의 치명적인 버그를 발견하다.

BTCPay는 문제를 책임감 있게 공개하고 분석을 돕는 데 기여한 Red Team 멤버 Craig Raw, Rob Hamilton, Calle 및 Evan Kaloudis에게 감사를 표했습니다.

그룹이 발견 사항을 신속히 공개한 이유는 외부 사람들이 동일한 버그를 발견할 것이며, BTCPay의 공개 경고가 나가기 전에 공격자들이 이미 이 버그를 라이브 서버에 대해 악용하고 있었기 때문이라고 밝혔습니다.

한편, BTCPay는 초기 경고 이후 범위를 좁혀, BTCPay 내부에서 생성된 핫 지갑을 포함한 표준 온체인 지갑은 자격 증명 결함의 영향을 받지 않는다고 밝혔습니다.

이 노출은 LND를 사용하는 배포에만 적용되며, LND의 자체 온체인 지갑에 보관된 자금은 손상된 라이트닝 노드 아래에 있기 때문에 여전히 위험에 처할 수 있습니다.

BTCPay는 운영자들이 패치를 적용할 시간을 필요로 한다며 취약점의 기술적 세부 사항을 아직 공개하지 않았습니다. 전체 분석은 며칠 내로 발표될 예정입니다.