פרצת אבטחה קריטית ב-BTCPay Server רוקנה צמתי ברק: ניתוח מלא

פרצת BTCPay Server: שגיאת לוגיקה בשכבת אימות ה-API

הפגיעות שנוצלה ב-BTCPay Server הייתה שגיאת לוגיקה בשכבת אימות ה-API של Greenfield API - הממשק המשמש אינטגרטורים חיצוניים, מערכות אוטומטיות ורקעי ארנקים . הפגיעות אפשרה לתוקף לא-מאומת מרחוק לגנוב קובצי .macaroon של LND - אסימוני הגישה השולטים בהרשאות בצומת Lightning .

ברגע שהתוקפים השיגו את אישורי המאקרונים, הם קיבלו שליטה מלאה בצומת LND ויכלו לרוקן את יתרות הערוצים . הפגיעות התגלתה ודווחה באחריות על ידי Bitcoin Red Team .

הבהרה חשובה: מדובר בפגיעות בשכבת התוכנה/יישום. פרוטוקול הביטקוין הבסיסי לא נפרץ . ההתקפה כוונה ללוגיקת האימות של מעבד התשלומים, ולא לבלוקצ'יין הביטקוין או פרוטוקול Lightning Network עצמו.

מי הושפע

הפגיעות השפיעה ספציפית על תצורות שהשתמשו ב-LND (Lightning Network Daemon), התוכנה הנפוצה ביותר להפעלת צומת Lightning .

• סוחרים, בורסות ורקעי ארנקים שהריצו BTCPay Server עם LND בכל גרסה לפני 2.4.2, כולל גרסאות RC (Release Candidate) של 2.4.2
• ארנקים חמים (hot wallets) שנוצרו ב-BTCPay היו גם בסיכון אם התוקף השיג השתלטות מלאה על השרת
• משתמשים שלא הריצו LND או לא השתמשו ב-Lightning לא היו חשופים לסיכון גניבת האישורים

מספר ארגוני ביטקוין ידועים שהריצו BTCPay אישרו שצמתי ה-Lightning שלהם רוקנו. Foundation, יצרנית ארנקי חומרה, ו-Citadel21, כתב עת ביטקויני, נמנו בין הקורבנות המאושרים .

צעדי חירום שנדרשו מהמפעילים

BTCPay Server והמפתח הראשי ניקולא דורייה פרסמו אזהרה דחופה עם שתי הנחיות :

1. עדכנו מייד - שדרגו לגרסה 2.4.2 של BTCPay Server דרך Admin Dashboard → Server → Maintenance → Update, וודאו את מחרוזת הגרסה 2.4.2 בתחתית הדף .
2. כבו את השרת אם אינכם יכולים לעדכן מיד .

בנוסף, המפעילים נדרשו לבטל וליצור מחדש את כל אישורי המאקרונים של LND, מכיוון שהתיקון עצר רק גניבה של אישורים חדשים. אישורים שכבר נגנבו במהלך חלון הניצול נותרו תקפים ויכלו עדיין לשמש לריקון כספים . הפרויקט גם המליץ לשדרג את NBXplorer, רכיב המעקב אחר ארנקים של BTCPay, לגרסה 2.6.10 .

אירועי אבטחה נוספים בשכבת התשלומים של הביטקוין באותו שבוע

ניצול BTCPay היה תקרית התשתית הגדולה השנייה בתוך כעשרה ימים. שניהם התרחשו בסוף יולי ותחילת אוגוסט 2026, ויצרו את מה שהתקשורת כינתה "שבוע הניצולים" של הביטקוין .

פרצת קושחת Coldcard (30 ביולי - 3 באוגוסט)

פגיעות קריטית בקושחת Coldcard גרסה 4.0.0, שהייתה קיימת מאז מרץ 2021, גרמה למכשיר לעקוף את שבב האקראיות הייעודי שלו במהלך יצירת מפתחות, במקום זאת באמצעות תחליף תוכנה צפוי . הדבר הפך את ביטויי הגיבוי (seed phrases) לניתנים לחיזוי על-ידי תוקפים.

התוקפים ניצלו זאת כדי לגנוב מעל 116 מיליון דולר בביטקוין מיותר מ-5,200 כתובות בארבעה גלים של גניבות שהחלו ב-30 ביולי . Galaxy Research עקב אחר התנועות בשרשרת וזיהו לפחות 15 תוקפים שונים שניצלו את הפגיעות . האומדן הכולל של הגניבות נע בין 116 מיליון דולר למעל 130 מיליון דולר .

ביקורת אבטחה אוטומטית רחבה (8 באוגוסט)

כתגובה ישירה לתקריות קולדקארד ו-BTCPay, קבוצת מתנדבים של מפתחי ביטקוין פתחה בבדיקת אבטחה מתואמת באמצעות כלי בינה מלאכותית. תוך 24 שעות הם איתרו כמעט 5,000 פרצות אבטחה בכ-400 פרויקטים, כשהמצב תואר כ"גרוע ביותר" . הממצאים כללו 85 פרצות קריטיות ו-635 פרצות בחומרה גבוהה, שרובן כבר אושרו על-ידי בעלי הפרויקטים .

לקחים מרכזיים למפעילי ביטקוין

1. תקנו מיד עם פרסום אזהרה קריטית. צוות BTCPay היה שקוף לגבי הניצול הפעיל, אך חלק מהמפעילים עיכבו את התיקון, מה שהוביל לאובדנים מאושרים .
2. ביטול אישורים חשוב לא פחות מהתיקון. תיקון שסוגר פרצה אינו מבטל אישורים שכבר נגנבו. לאחר עדכון BTCPay, המפעילים עדיין נדרשו לבטל וליצור מחדש את מאקרוני LND .
3. אבטחת שכבה-2 תלויה בזהירות המפעילים בשכבה-1. בעוד פרוטוקול Lightning Network עצמו לא נפרץ, חשיפת האישורים דרך ה-API של BTCPay הראתה שכשלים בתוכנת תשלומים עצמאית יכולים לגלוש לאובדן כספים עבור משתמשי Lightning .
4. המערכת האקולוגית מבקרת את עצמה. בדיקת האבטחה בהנהגת מתנדבים שמצאה כמעט 5,000 פרצות ב-400 פרויקטים מדגימה הן את היקף הבעיה והן את נכונות הקהילה להתמודד איתה .

תקרית BTCPay Server וניצול Coldcard המקביל מהווים רגע מכונן לאבטחת תשתיות הביטקוין. האירועים הגבירו את הקריאות לביקורת קוד קפדנית יותר, כלי אבטחה אוטומטיים ופרוטוקולי תגובה מהירים יותר ברחבי המערכת האקולוגית הפתוחה של הביטקוין.