ثغرة خطيرة في BTCPay Server تستنزف عُقد Lightning: تحليل كامل للحادثة والاستجابة

الثغرة الأمنية في BTCPay Server: خطأ منطقي في مصادقة API

الخلل الذي تم استغلاله كان خطأ منطقيًا في طبقة مصادقة API لواجهة Greenfield API، وهي الواجهة التي يستخدمها المطورون الخارجيون والأنظمة الآلية ومحافظ الخلفية . والأهم من ذلك، أنها سمحت لمهاجم عن بعد غير موثوق بسرقة ملفات بيانات اعتماد LND .macaroon — وهي رموز الوصول التي تتحكم في صلاحيات عُقد شبكة Lightning .

وبمجرد حصول المهاجمين على بيانات اعتماد macaroon، تمكنوا من السيطرة الكاملة على عقدة LND المتصلة وتفريغ أرصدة قنواتها . تم اكتشاف الثغرة والإبلاغ عنها بشكل مسؤول من قبل فريق Bitcoin Red Team .

توضيح مهم: كانت هذه ثغرة في طبقة البرمجيات / التطبيقات. بروتوكول البيتكوين الأساسي لم يتم اختراقه . الهجوم استهدف منطق المصادقة في خادم الدفع الموزع ذاتيًا، وليس سلسلة كتل البيتكوين أو بروتوكول شبكة Lightning نفسه.

من تأثر بالثغرة؟

أثرت الثغرة بشكل خاص على التكوينات التي تستخدم LND (Lightning Network Daemon)، وهو البرنامج الأكثر استخدامًا لتشغيل عُقد Lightning .

• التجار ومنصات التداول ومحافظ الخلفية الذين يشغلون BTCPay Server مع LND على أي إصدار سابق للإصدار 2.4.2، بما في ذلك إصدارات 2.4.2 المرشحة .
• المحافظ الساخنة (Hot wallets) على السلسلة الرئيسية التي تم إنشاؤها في BTCPay كانت أيضًا معرضة للخطر إذا تمكن المهاجم من السيطرة الكاملة على الخادم .
• المستخدمون الذين لا يشغلون LND أو لا يستخدمون Lightning على الإطلاق لم يكونوا معرضين لخطر سرقة بيانات الاعتماد .

العديد من مؤسسات البيتكوين المعروفة التي تشغل BTCPay أكدت استنزاف عُقد Lightning الخاصة بها. من بين الضحايا المؤكدين شركة Foundation المصنعة للمحافظ الصلبة ومنصة Citadel21 المتخصصة في أخبار البيتكوين .

الإجراءات الطارئة المطلوبة من المشغلين

أصدر فريق BTCPay Server وقائده نيكولاس دورييه تحذيرًا عاجلاً يتضمن أمرين حاسمين :

1. التحديث فورًا — الترقية إلى الإصدار 2.4.2 عبر لوحة الإدارة ← الخادم ← الصيانة ← التحديث، والتحقق من رقم الإصدار في التذييل .
2. إيقاف الخادم إذا تعذر التحديث فورًا .

بالإضافة إلى ذلك، تم إبلاغ المشغلين بضرورة إلغاء وإعادة توليد جميع بيانات اعتماد LND .macaroon، لأن التحديث يوقف فقط سرقة بيانات الاعتماد الجديدة. بيانات الاعتماد التي تم سرقتها بالفعل خلال فترة الاستغلال تظل صالحة ويمكن استخدامها لاستنزاف الأموال . كما أوصى المشروع بترقية NBXplorer، وهو نظام تتبع المحافظ الخلفي لـ BTCPay، إلى الإصدار 2.6.10 .

حوادث أمنية أخرى في طبقة مدفوعات البيتكوين في نفس الأسبوع

كان اختراق BTCPay هو الاختراق الرئيسي الثاني للبنية التحتية للبيتكوين في غضون عشرة أيام تقريبًا. وقع كلاهما في أواخر يوليو وأوائل أغسطس 2026، مما خلق ما أطلق عليه البعض "أسبوع الثغرات" للبيتكوين .

ثغرة برمجية في محفظة Coldcard الصلبة (30 يوليو – 3 أغسطس)

ثغرة حرجة في البرمجية الثابتة (firmware) لمحفظة Coldcard الإصدار 4.0.0، الموجودة منذ مارس 2021، تسببت في تجاوز شريحة العشوائية المادية المخصصة للجهاز أثناء توليد المفاتيح، واستخدام بديل برمجي يمكن التنبؤ به . مما جعل العبارات الأولية للاسترداد (seed phrases) قابلة للتعداد من قبل المهاجمين.

استغل المهاجمون ذلك لسرقة أكثر من 116 مليون دولار من البيتكوين من أكثر من 5200 عنوان عبر أربع موجات من السرقة بدأت في 30 يوليو . قامت Galaxy Research بتتبع الحركات على السلسلة وحددت ما لا يقل عن 15 مهاجمًا مختلفًا يستغلون الثغرة . تراوحت التقديرات الإجمالية للمبلغ المسروق بين 116 مليون دولار وأكثر من 130 مليون دولار اعتمادًا على التقييم وقت التقرير .

مراجعة أمنية آلية أوسع (8 أغسطس)

كرد فعل مباشر على حادثتي BTCPay وColdcard، أطلقت مجموعة متطوعة من مطوري البيتكوين مراجعة أمنية منسقة باستخدام أدوات الذكاء الاصطناعي. في غضون 24 ساعة، تمكنوا من تحديد ما يقرب من 5000 ثغرة أمنية عبر حوالي 400 مشروع، ووصف الوضع بأنه "سيء للغاية" . تضمنت النتائج 85 ثغرة حرجة و 635 ثغرة عالية الخطورة، تم التحقق من معظمها بالفعل من قبل مالكي المشاريع .

الدروس المستفادة الرئيسية لمشغلي البيتكوين

1. التحديث فورًا عند إصدار تحذيرات حرجة. كان فريق BTCPay شفافًا بشأن الاستغلال النشط، لكن بعض المشغلين تأخروا في التحديث مما أدى إلى خسائر مؤكدة .
2. إلغاء بيانات الاعتماد لا يقل أهمية عن التحديث. التحديث الذي يسد الثغرة لا يبطل صلاحية بيانات الاعتماد المسروقة بالفعل. بعد تحديث BTCPay، كان لا يزال على المشغلين إلغاء وإعادة توليد جميع رموز LND .macaroon .
3. أمان الطبقة الثانية يعتمد على يقظة مشغل الطبقة الأولى. في حين أن بروتوكول Lightning نفسه لم يتم اختراقه، فإن تعرض بيانات الاعتماد من خلال API الخاص بـ BTCPay أظهر أن نقاط الضعف في برامج الدفع الموزعة ذاتيًا يمكن أن تتسبب في خسائر مالية لمستخدمي Lightning .
4. النظام البيئي يقوم بمراجعة نفسه بنفسه. المراجعة الأمنية التي قادها المتطوعون باستخدام الذكاء الاصطناعي والتي اكتشفت ما يقرب من 5000 ثغرة في 400 مشروع تُظهر حجم المشكلة واستعداد المجتمع لمعالجتها .

يمثل حادث BTCPay Server وثغرة Coldcard الموازية نقطة تحول في أمان البنية التحتية للبيتكوين. وقد كثفت هذه الأحداث الدعوات لإجراء مراجعة أكثر صرامة للكود، وأدوات أمان آلية، وبروتوكولات استجابة أسرع عبر النظام البيئي مفتوح المصدر للبيتكوين.