Сторонники BTCPay Server объявили о награде за возврат украденных биткойнов: 10% от восстановленной суммы, но не более 3 BTC (примерно $190 000 по текущему курсу). Предложение действует для всех, кто сможет помочь вернуть средства, включая самих злоумышленников.
Взлом произошёл из-за уязвимости в серверах, работающих с LND — программным обеспечением для управления узлами Lightning Network. Злоумышленники получили доступ к административным ключам (macaroons), которые дают полный контроль над криптокошельками, подключёнными к этим узлам. Lightning Network — это вспомогательная сеть для биткойна, позволяющая проводить платежи быстрее и дешевле.
«Мы разберёмся с ошибками, но сожалением пострадавшим не помочь. Нельзя медлить — нужно учиться, совершенствоваться и действовать быстро», — написала компания в понедельник в социальной сети X. Пользователи, использующие затронутое программное обеспечение, должны немедленно обновиться до версии 2.4.2 или отключить свои серверы.
Разработчики не назвали сумму украденных средств и количество потерпевших. Если несколько источников помогут вернуть фонды, награда будет разделена с учётом убытков каждой жертвы и полезности информации. Фонд BTCPay также выделит по 0,21 BTC исследователю безопасности Крейгу Роу и фонду Bitcoin Red Team за ответственное раскрытие уязвимости.
На фоне роста атак компания пересматривает подход к разработке: усиливает код-ревью и приоритизирует патчи безопасности над новыми функциями. По мнению BTCPay, искусственный интеллект делает поиск уязвимостей в криптографическом ПО проще, поэтому защита требует лучших инструментов, глубокого анализа и поддержки специалистов, которые находят и ответственно сообщают об ошибках.