Des bots malveillants sondent activement les serveurs de paiement Bitcoin exposés pour voler les clés administratives maîtresses

Le processeur de paiement Bitcoin BTCPay Server a averti que des bots sondent les nœuds Lightning exposés à la recherche d'une voie potentielle vers un contrôle administratif.

Cette activité fait suite à une vulnérabilité critique distincte de BTCPay que des attaquants ont exploitée il y a un mois pour obtenir des identifiants protégeant les nœuds LND et vider les portefeuilles des marchands.

BTCPay a par la suite désactivé l'accès externe à LND, une implémentation largement utilisée du Lightning Network de Bitcoin, dans son déploiement Docker standard. Le projet indique désormais que des systèmes automatisés ciblent les serveurs où les opérateurs ont restauré manuellement cet accès, en appelant de manière répétée un point de terminaison de changement de mot de passe LND.

Le dernier mécanisme diffère de la vulnérabilité exploitée en août, mais pourrait mener à un résultat similaire : un attaquant obtenant des identifiants capables de contrôler un nœud LND.

BTCPay a déclaré que la faille apparaît pendant un court intervalle après le redémarrage de LND, alors que son portefeuille reste verrouillé. Pendant cette période, la méthode de changement de mot de passe ciblée ne nécessite pas de macaroon, l'identifiant que LND utilise normalement pour autoriser les actions administratives.