Критична вразливість BTCPay Server спустошила Lightning-вузли

Ця стаття розповідає, що сталося, кого це торкнулося, яких екстрених заходів мали вжити оператори, а також про ширший безпековий ландшафт того бурхливого тижня.

Вразливість BTCPay Server: логічна помилка в автентифікації API

Використана вразливість у BTCPay Server була логічною помилкою в рівні автентифікації API Greenfield API — інтерфейсу, який використовують зовнішні інтегратори, автоматизовані системи та бекенди гаманців . Ключовим моментом є те, що вона дозволяла неавтентифікованому віддаленому зловмиснику викрадати файли облікових даних LND .macaroon — маркери доступу, що регулюють дозволи на вузлах Lightning Network .

Отримавши облікові дані macaroon, зловмисники могли повністю контролювати підключений вузол LND та спустошувати баланси його каналів . Вразливість була виявлена та відповідально розкрита командою Bitcoin Red Team .

Важливе уточнення: Це була помилка на рівні програмного забезпечення/додатку. Основний протокол Bitcoin не було скомпрометовано . Атака була спрямована на логіку автентифікації самостійно розміщеного платіжного процесора, а не на блокчейн Bitcoin чи протокол Lightning Network.

Хто постраждав

Вразливість конкретно вплинула на конфігурації, які використовували LND (Lightning Network Daemon) — найпоширеніше програмне забезпечення для роботи з Lightning-вузлом .

• Торговці, біржі та бекенди гаманців, які запускали BTCPay Server з LND на будь-якій версії, старшій за 2.4.2, включаючи кандидати на випуск 2.4.2 .
• Гарячі ончейн-гаманці, створені в BTCPay, також були під загрозою, якщо зловмисник отримував повний контроль над сервером .
• Користувачі, які не використовували LND або взагалі не використовували Lightning, не були вразливі до ризику крадіжки облікових даних .

Кілька відомих Bitcoin-організацій, які використовували BTCPay, підтвердили спустошення своїх Lightning-вузлів. Серед підтверджених жертв — виробник апаратних гаманців Foundation та Bitcoin-видання Citadel21 .

Екстрені дії, необхідні від операторів

BTCPay Server та його головний розробник Ніколя Дор'є оприлюднили термінове попередження з двома імперативами :

1. Негайно оновитися — Оновіть BTCPay Server до версії 2.4.2 через Admin Dashboard → Server → Maintenance → Update та перевірте рядок версії в підвалі сторінки .
2. Вимкнути сервер, якщо немає можливості оновитися негайно .

Крім того, операторам було сказано, що вони також повинні відкликати та повторно згенерувати всі облікові дані LND macaroon, оскільки виправлення лише зупиняло нове викрадення облікових даних. Вже викрадені облікові дані залишалися дійсними та могли використовуватися для подальшого виведення коштів . Проєкт також рекомендував оновити NBXplorer, бекенд для відстеження гаманців BTCPay, до версії 2.6.10 .

Інші інциденти безпеки платіжного шару Bitcoin того ж тижня

Експлойт BTCPay був другим великим порушенням інфраструктури Bitcoin приблизно за десять днів. Обидва сталися в кінці липня та на початку серпня 2026 року, створивши те, що в пресі назвали "тижнем експлойтів" Bitcoin .

Вразливість прошивки апаратного гаманця Coldcard (30 липня – 3 серпня)

Критична вразливість у прошивці Coldcard версії 4.0.0, присутня з березня 2021 року, призводила до того, що пристрій обходив свій виділений апаратний чіп випадковості під час генерації ключів, натомість використовуючи передбачуваний програмний замінник . Це робило seed-фрази доступними для перебору зловмисниками.

Зловмисники використали це для крадіжки понад $116 млн у Bitcoin з більш ніж 5 200 адрес у чотирьох хвилях крадіжок, що почалися 30 липня . Galaxy Research відстежувала ончейн-рух та ідентифікувала щонайменше 15 різних зловмисників, які експлуатували цю вразливість . Оцінки загальної суми викраденого коливалися від $116 млн до понад $130 млн залежно від курсу на момент звітування .

Широкомасштабний автоматизований безпековий аудит (8 серпня)

Безпосередньою реакцією на інциденти з Coldcard та BTCPay стала координаційна безпекова перевірка, проведена групою волонтерів-розробників Bitcoin з використанням AI-інструментів. Протягом 24 годин вони виявили майже 5 000 вразливостей безпеки приблизно в 400 проєктах, а ситуацію охарактеризували як "надзвичайно погану" . Результати включали 85 критичних та 635 високосерйозних помилок, більшість з яких були підтверджені власниками проєктів .

Ключові висновки для операторів Bitcoin

1. Виправляйте негайно, коли з'являються критичні попередження. Команда BTCPay була прозорою щодо активного експлойту, але деякі оператори зволікали з оновленням, що призвело до підтверджених втрат .
2. Відкликання облікових даних часто так само важливе, як і встановлення виправлення. Виправлення, яке закриває вразливість, не анулює вже викрадені облікові дані. Після оновлення BTCPay оператори все одно мали відкликати та повторно згенерувати всі LND macaroon .
3. Безпека рівня 2 залежить від старанності оператора рівня 1. Хоча протокол Lightning Network не був скомпрометований, експозиція облікових даних через API BTCPay показала, що слабкі місця в самостійно розміщеному платіжному програмному забезпеченні можуть призвести до втрати коштів для користувачів Lightning .
4. Екосистема проводить самоаудит. Волонтерський AI-аудит безпеки, який виявив майже 5 000 вразливостей у 400 проєктах, демонструє як масштаб проблеми, так і готовність спільноти їх вирішувати .

Інцидент з BTCPay Server та паралельний експлойт Coldcard стали переломним моментом для безпеки інфраструктури Bitcoin. Ці події посилили заклики до більш ретельного перегляду коду, використання автоматизованих інструментів безпеки та швидших протоколів реагування в усій екосистемі з відкритим кодом Bitcoin.