BTCPay Serverin kriittinen haavoittuvuus tyhjensi Lightning-solmuja – Täydellinen selostus elokuun 2026 tapahtumista ja hätätoimista

Tämä artikkeli purkaa auki, mitä tapahtui, ketä se koski, mitä hätätoimia operaattoreilta vaadittiin ja millainen oli laajempi tietoturvatilanne tuona myrskyisänä viikkona.

BTCPay Serverin haavoittuvuus: Looginen virhe API-todennuksessa

Hyväksikäytetty haavoittuvuus oli looginen virhe Greenfield API -todennuskerroksessa, joka on ulkoisten integraattoreiden, automatisoitujen järjestelmien ja lompakkotaustajärjestelmien käyttämä rajapinta . Kriittisesti se mahdollisti tunnistautumattoman etähyökkääjän varastamaan LND:n .macaroon -pääsyavaintiedostoja – nämä ovat Lightning Network -solmujen käyttöoikeuksia hallinnoivia tunnuksia .

Kun hyökkääjät saivat macaroon-tunnukset haltuunsa, he pystyivät ottamaan täyden hallinnan yhdistetystä LND-solmusta ja tyhjentämään sen kanavasaldoja . Haavoittuvuuden löysi ja vastuullisesti ilmoitti Bitcoin Red Team .

Tärkeä selvennys: Tämä oli ohjelmisto-/sovelluskerroksen vika. Bitcoinin perustana olevaa protokollaa ei vaarannettu . Hyökkäys kohdistui itse ylläpidettävän maksunkäsittelyohjelmiston todennuslogiikkaan, ei itse bitcoin-lohkoketjuun tai Lightning Network -protokollaan.

Ketä haavoittuvuus koski

Haavoittuvuus koski erityisesti asetuksia, joissa käytettiin LND:tä (Lightning Network Daemon), yleisintä Lightning-solmun ylläpito-ohjelmistoa .

• Kauppiaat, pörssit ja lompakkotaustajärjestelmät, jotka käyttävät BTCPay Serveriä LND:n kanssa versiossa ennen 2.4.2:ta, mukaan lukien 2.4.2:n ehdokasversiot
• Myös BTCPayssä luodut kuumat lompakot olivat vaarassa, jos hyökkääjä sai täyden palvelimen hallinnan
• Käyttäjät, jotka eivät käyttäneet LND:tä tai Lightningiä lainkaan, eivät olleet alttiina tunnusten varastamisriskille

Useat tunnetut bitcoin-organisaatiot, jotka käyttävät BTCPay Serveriä, vahvistivat Lightning-solmujensa tyhjentyneen. Foundation, laitteistolompakkovalmistaja, ja Citadel21, bitcoin-julkaisu, olivat vahvistettujen uhrien joukossa .

Operaattoreiden hätätoimet

BTCPay Server ja sen pääkehittäjä Nicolas Dorier antoivat kiireellisen ohjeen, jossa oli kaksi keskeistä määräystä :

1. Päivitä heti — Päivitä BTCPay Server versioon 2.4.2 valitsemalla Ylläpito-sivulta Päivitä ja varmista versiotunniste alatunnisteesta .
2. Sammuta palvelin jos et pysty päivittämään heti .

Lisäksi operaattoreille kerrottiin, että heidän on myös peruutettava ja luotava uudelleen kaikki LND macaroon -tunnukset, koska päivitys esti vain uuden tunnusten varastamisen. Jo hyökkäyksen aikana varastetut tunnukset pysyivät voimassa ja niitä voitiin edelleen käyttää varojen tyhjentämiseen . Projekti suositteli myös NBXplorerin, BTCPayn lompakon seurantataustajärjestelmän, päivittämistä versioon 2.6.10 .

Muita bitcoin-maksukerroksen tietoturvatapahtumia samalla viikolla

BTCPay-haavoittuvuus oli toinen merkittävä bitcoin-infrastruktuurin tietoturvaloukkaus noin kymmenen päivän sisällä. Molemmat tapahtuivat heinä-elokuun vaihteessa 2026, mikä sai jotkut tiedotusvälineet kutsumaan tapahtumia bitcoinin "haavoittuvuusviikoksi" .

Coldcard-laitteistolompakon laiteohjelmistovika (30. heinäkuuta – 3. elokuuta)

Kriittinen haavoittuvuus Coldcardin laiteohjelmistoversiossa 4.0.0, joka oli ollut olemassa maaliskuusta 2021 lähtien, sai laitteen ohittamaan omistetun laitteistopohjaisen satunnaisuuspirin avainten luonnin aikana ja käyttämään sen sijaan ennustettavaa ohjelmistopohjaista korvaajaa . Tämä teki siemenlausekkeista hyökkääjien laskettavissa olevia.

Hyökkääjät hyväksikäyttivät tätä varastaakseen yli 116 miljoonaa dollaria bitcoinia yli 5 200:lta osoitteelta neljässä varkausaallossa, jotka alkoivat 30. heinäkuuta . Galaxy Research seurasi lohkoketjun liikkeitä ja tunnisti ainakin 15 eri hyökkääjää, jotka käyttivät hyväkseen vikaa . Arvioitu kokonaisvarkausmäärä vaihteli 116 miljoonasta yli 130 miljoonaan dollariin raportointiajankohdasta riippuen .

Laajempi automaattinen tietoturvatarkastus (8. elokuuta)

Suorana vastauksena Coldcard- ja BTCPay-tapauksiin vapaaehtoinen ryhmä bitcoin-kehittäjiä käynnisti koordinoidun tietoturvatarkastuksen käyttäen tekoälytyökaluja. 24 tunnin kuluessa he löysivät lähes 5 000 tietoturvahaavoittuvuutta noin 400 projektista, ja tilannetta kuvattiin "erittäin huonoksi" . Löydökset sisälsivät 85 kriittistä ja 635 korkean vakavuusasteen bugia, joista suurin osa oli jo projektien omistajien vahvistamia .

Keskeiset opit bitcoin-operaattoreille

1. Päivitä välittömästi, kun kriittisiä ohjeita annetaan. BTCPay-tiimi oli läpinäkyvä aktiivisesta hyväksikäytöstä, mutta jotkut operaattorit viivyttelivät päivitystä, mikä johti vahvistettuihin tappioihin .
2. Tunnusten peruutus on usein yhtä tärkeää kuin päivitys. Päivitys, joka sulkee haavoittuvuuden, ei mitätöi jo varastettuja tunnuksia. BTCPay-päivityksen jälkeen operaattoreiden piti silti peruuttaa ja luoda uudelleen kaikki LND macaroon -tunnukset .
3. Kerroksen 2 turvallisuus riippuu kerroksen 1 operaattorin huolellisuudesta. Vaikka Lightning Network -protokollaa ei sinänsä vaarannettu, BTCPayn API:n kautta tapahtunut tunnusten altistuminen osoitti, että itse ylläpidettävän maksuohjelmiston heikkoudet voivat johtaa varojen menetykseen Lightning-käyttäjille .
4. Ekosysteemi tarkastaa itse itseään. Vapaaehtoisvetoinen tekoälyturvallisuustarkastus, joka löysi lähes 5 000 haavoittuvuutta 400 projektista, osoittaa sekä ongelman laajuuden että yhteisön halun käsitellä sitä .

BTCPay Serverin tapaus ja rinnakkainen Coldcard-haavoittuvuus edustavat vedenjakajaa bitcoin-infrastruktuurin tietoturvalle. Tapahtumat ovat voimistaneet vaatimuksia perusteellisemmasta koodin tarkastuksesta, automaattisista turvallisuustyökaluista ja nopeammista vastausprotokollista avoimen lähdekoodin bitcoin-ekosysteemissä.