BTCPay Server-kritisk sårbarhet tappet Lightning-noder

Denne artikkelen gir deg en fullstendig oversikt over hva som skjedde, hvem som ble rammet, hvilke nødtiltak operatører måtte iverksette, og det bredere sikkerhetsbildet i denne urolige uken.

BTCPay Server-sårbarheten: En logisk feil i API-autentiseringen

Feilen som ble utnyttet i BTCPay Server, var en logisk feil i API-autentiseringslaget i Greenfield API – grensesnittet som brukes av eksterne integratorer, automatiserte systemer og lommebok-backends . Avgjørende var at den tillot en uautorisert ekstern angriper å stjele LND .macaroon-legitimasjonsfiler – tilgangstokenene som styrer tillatelser på Lightning-noder .

Så snart angriperne hadde macaroon-legitimasjonen, kunne de ta full kontroll over den tilkoblede LND-noden og tømme kanalbeholdningen . Sårbarheten ble oppdaget og ansvarlig avslørt av Bitcoin Red Team .

Viktig presisering: Dette var en programvare-/applikasjonslagsfeil. Bitcoins underliggende protokoll ble ikke kompromittert . Angrepet målrettet betalingsprosessorens autentiseringslogikk, ikke Bitcoin-blokkjeden eller Lightning Network-protokollen i seg selv.

Hvem ble rammet

Sårbarheten rammet spesifikt konfigurasjoner som brukte LND (Lightning Network Daemon), den mest utbredte programvaren for å drive en Lightning-node .

• Handelsmenn, børser og lommebok-backends som kjørte BTCPay Server med LND på en hvilken som helst versjon før 2.4.2, inkludert 2.4.2 release candidates
• Hot on-chain-lommebøker generert i BTCPay var også i faresonen hvis en angriper oppnådde full serverkontroll
• Brukere som ikke kjørte LND eller ikke brukte Lightning i det hele tatt, var ikke utsatt for risikoen for legitimasjonstyveri

Flere kjente Bitcoin-organisasjoner som kjørte BTCPay, bekreftet at Lightning-nodene deres var tappet. Foundation, en produsent av maskinvarelommebøker, og Citadel21, en Bitcoin-publikasjon, var blant de bekreftede ofrene .

Nødvendige tiltak for operatører

BTCPay Server og hovedutvikler Nicolas Dorier utstedte en presserende sikkerhetsmelding med to påbud :

1. Oppdater umiddelbart – Oppgrader til BTCPay Server versjon 2.4.2 via Admin Dashboard → Server → Maintenance → Update, og bekreft versjonsstrengen i bunnteksten .
2. Slå av serveren hvis du ikke kan oppdatere med en gang .

I tillegg ble operatører fortalt at de også måtte tilbakekalle og fornye all LND-macaroon-legitimasjon, fordi oppdateringen kun stoppet nytt legitimasjonstyveri. Legitimasjon som allerede var stjålet i løpet av utnyttelsesvinduet, forble gyldig og kunne fortsatt brukes til å tappe midler . Prosjektet anbefalte også å oppgradere NBXplorer, BTCPays lommeboksporings-backend, til versjon 2.6.10 .

Andre sikkerhetshendelser i Bitcoins betalingslag samme uke

BTCPay-utnyttelsen var det andre store Bitcoin-infrastrukturbruddet i løpet av omtrent ti dager. Begge skjedde i slutten av juli og begynnelsen av august 2026, noe som skapte det pressen kalte Bitcoins «utnyttelsesuke» .

Coldcard maskinvarelommebok-fastvarefeil (30. juli – 3. august)

En kritisk sårbarhet i Coldcard fastvare versjon 4.0.0, til stede siden mars 2021, førte til at enheten omgikk den dedikerte maskinvare-tilfeldighetsbrikken under nøkkelgenerering, og i stedet brukte en forutsigbar programvareerstatning . Dette gjorde seed-fraser utnyttbare for angripere.

Angripere utnyttet dette til å stjele over 116 millioner dollar i Bitcoin fra mer enn 5 200 adresser i fire bølger med tyveri som startet 30. juli . Galaxy Research sporet bevegelsene på kjeden og identifiserte minst 15 forskjellige angripere som utnyttet feilen . Det estimerte totale beløpet som ble stjålet, varierte fra 116 millioner dollar til over 130 millioner dollar, avhengig av verdsettelsen på rapporteringstidspunktet .

Bredere automatisert sikkerhetsrevisjon (8. august)

Som en direkte reaksjon på Coldcard- og BTCPay-hendelsene, startet en frivillig gruppe Bitcoin-utviklere en koordinert sikkerhetsrevisjon ved hjelp av AI-verktøy. I løpet av 24 timer identifiserte de nesten 5 000 sikkerhetssårbarheter på tvers av omtrent 400 prosjekter, og situasjonen ble beskrevet som «ekstremt dårlig» . Funnene inkluderte 85 kritiske og 635 høy-alvorlighetsfeil, hvorav de fleste allerede var bekreftet av prosjekteierne .

Viktige lærdommer for Bitcoin-operatører

1. Oppdater umiddelbart når kritiske sikkerhetsmeldinger blir utgitt. BTCPay-teamet var åpne om den aktive utnyttelsen, men noen operatører forsinket oppdateringen, noe som førte til bekreftede tap .
2. Tilbakekalling av legitimasjon er ofte like viktig som oppdatering. En oppdatering som tette en sårbarhet, ugyldiggjør ikke legitimasjon som allerede er stjålet. Etter BTCPay-oppdateringen måtte operatører fortsatt tilbakekalle og fornye alle LND-macarooner .
3. Lag-2-sikkerhet avhenger av lag-1-operatørens aktsomhet. Selv om Lightning Network-protokollen i seg selv ikke ble kompromittert, viste legitimasjonseksponeringen gjennom BTCPays API at svakheter i selv-hostet betalingsprogramvare kan føre til tap av midler for Lightning-brukere .
4. Økosystemet reviderer seg selv. Den frivillig-ledede AI-sikkerhetsrevisjonen som fant nesten 5 000 sårbarheter i 400 prosjekter, viser både omfanget av problemet og samfunnets vilje til å ta tak i det .

BTCPay Server-hendelsen og den parallelle Coldcard-utnyttelsen representerer et vannskille for Bitcoins infrastruktursikkerhet. Hendelsene har forsterket kravene om mer grundig kodegjennomgang, automatisert sikkerhetsverktøy og raskere responsprotokoller i det åpne kildekode-Bitcoin-økosystemet.