BTCPayの支持者、ウォレット悪用を受けてBitcoin報奨金を提示

概要

• BTCPay Serverのサポーターは、回収された資金の10%（最大3 BTC）を提供することを申し出ました。
• 攻撃者は、脆弱なLNDサーバーから取得した認証情報を使用してBitcoinを盗みました。
• 影響を受けるソフトウェアを実行しているユーザーは、直ちにバージョン2.4.2にアップデートする必要があります。

BTCPay Serverのサポーターは、最近のエクスプロイトで盗まれたすべてのBitcoinが返還された場合、回収された資金の10%（現在約$190,000相当の3 BTCを上限とする）を提供することを申し出ています。

月曜日のXでの投稿で、BTCPayはこの申し出は攻撃者を含む、資金の回収に役立つ情報を持つすべての人に適用されると述べました。

「私たちは自らの過ちを検証しますが、後悔だけでは影響を受けたユーザーを助けたり、プロジェクトを保護したりすることはできません」と同社は記しています。「無駄にできる時間はありません。私たちは学び、改善し、迅速に行動しなければなりません。」

BTCPayは金曜日に初めて攻撃についてユーザーに警告し、新バージョン2.4.2をインストールするか、サーバーをオフラインにするよう促しました。当時、プロジェクトは盗難を確認しておらず、エクスプロイトの仕組みについても説明していませんでした。

BTCPayによると、この欠陥により攻撃者はLightning Networkノードに対する広範な制御権を付与する認証情報であるLND admin macaroonsを取得し、それを使用して接続されたウォレットにアクセスすることが可能になりました。Lightning Network は、Bitcoinブロックチェーン上に構築されたレイヤー2決済ネットワークで、より高速で安価な取引を可能にします。Lightning Networkノードは、ユーザー間のチャネルを通じて支払いをルーティングします。

BTCPayは、どれだけのBitcoinが盗まれたか、何人のユーザーが影響を受けたか、あるいは資金が回収されたかどうかについては明らかにしていません。

複数の情報提供が資金回収に役立った場合、報奨金は被害者と調整して分配されます。プロジェクトは、各被害者の損失、回収額、および各情報の有用性を考慮すると述べています。

BTCPay Server Foundationはまた、責任ある脆弱性の公開を行ったことに対し、セキュリティ研究者のCraig RawとBitcoin Red Team基金にそれぞれ0.21 BTCを寄付します。

「これらはささやかな貢献ですが、FOSSプロジェクトとして提供できるものであり、エコシステム全体を助ける重要なセキュリティ業務を行っている人々への感謝の形です」とBTCPayは記しています。

同社は、AIによって攻撃者がBitcoinソフトウェアの脆弱性を見つけることが容易になっているため、コードレビューを強化し、新機能よりもセキュリティパッチを優先していると述べています。

「このような環境でソフトウェアを守るには、より優れたツール、より徹底したレビュー、より迅速なセキュリティ対応、そして脆弱性を発見し責任を持って報告する研究者へのサポートが必要です」とBTCPayは記しています。

Daily Debrief ニュースレター

最新のトップニュースに加え、オリジナルの特集、ポッドキャスト、動画などを毎日お届けします。