Kolejna luka w infrastrukturze Bitcoina – atak opróżnił serwery płatności Lightning

W świecie Bitcoina cały tydzień przynosił kolejne niepokojące informacje dotyczące bezpieczeństwa, a najnowszy incydent dodatkowo uderzył w użytkowników korzystających z płatności Lightning. Tym razem problem dotknął BTCPay Server, czyli popularne rozwiązanie umożliwiające merchantom przyjmowanie BTC przez sieć warstwy drugiej, oferującą szybkie i tanie transakcje. Luka została wykorzystana w sposób pozwalający atakującym przejmować środki z niektórych węzłów Lightning opartych o LND.

Co się stało?

Zespół BTCPay poinformował, że odkryto krytyczną podatność, która umożliwiała zdalnemu napastnikowi uzyskanie dostępu do plików z danymi uwierzytelniającymi. Chodzi o tzw. pliki .macaroon, które pełnią rolę uprawnień pozwalających oprogramowaniu komunikować się z węzłem Lightning i wykonywać operacje na portfelu. W praktyce oznaczało to, że ktoś, kto wszedł w posiadanie tych danych, mógł przejąć kontrolę nad węzłem i wypłacić znajdujące się tam środki.

To klasyczny przykład tego, że w kryptowalutach największe ryzyko często nie leży w samym protokole, lecz w warstwie narzędzi, które go obsługują. Nawet dobrze zaprojektowana infrastruktura może stać się celem, jeśli pojedynczy komponent zawiedzie. Dlatego aktualizacje i szybka reakcja na alerty bezpieczeństwa są absolutnie kluczowe.

Firma zaapelowała do wszystkich operatorów LND o natychmiastową aktualizację do wersji 2.4.2 albo wyłączenie serwera do czasu wdrożenia poprawki. To ważne, bo ataki były już prowadzone na działające instancje, a więc problem nie ograniczał się do teoretycznego ryzyka. Jak przekazano, BTCPay nie ujawnił jeszcze wszystkich technicznych szczegółów luki, ponieważ operatorzy potrzebują czasu na zabezpieczenie swoich systemów.

Kogo dotknął atak?

Wśród poszkodowanych znalazła się Foundation, firma znana z produkcji portfeli sprzętowych. Jej CEO Zach Herbert potwierdził, że nocą napastnicy opróżnili Lightning node uruchomiony przez BTCPay, zamykając kanały i przenosząc znajdujące się tam środki. Jednocześnie zaznaczył, że on-chain hot wallet firmy nie został naruszony.

Swoje straty zgłosił także Citadel21, czyli bitcoinowy magazyn prowadzony przez hodlonauta. W tym przypadku również doszło do opróżnienia węzła Lightning, choć publikacja podkreśliła, że nie trzymała tam dużej kwoty. To pokazuje, że nawet mniejsze wdrożenia, o ile są publicznie dostępne i niewłaściwie zabezpieczone, mogą stać się celem ataku.

Dlaczego ta podatność była tak groźna?

Sedno problemu polega na tym, że atakujący nie musieli znać hasła ani prowadzić długiego procesu włamywania się do systemu. Wystarczyło wykorzystać błąd, który dawał nieautoryzowany dostęp do wrażliwych plików z poświadczeniami. Po ich przechwyceniu można było przejąć węzeł Lightning i opróżnić kanały płatnicze.

Warto też rozróżnić, czego ten błąd nie dotyczył. BTCPay wyjaśnił później, że standardowe portfele on-chain generowane w samym BTCPay nie zostały objęte podatnością. Ryzyko dotyczyło przede wszystkim wdrożeń korzystających z LND, a w szczególności środków przechowywanych w portfelu on-chain wewnątrz samego węzła Lightning, ponieważ nadal były one zależne od skompromitowanej infrastruktury.

Skąd wzięto informację o luce?

Podatność została wcześniej zgłoszona zespołowi BTCPay przez członków Bitcoin Red Team. To grupa, która w ostatnim czasie zaczęła masowo analizować kod związany z Bitcoinem przy użyciu modeli AI, a efektem ich pracy są tysiące zgłoszeń w setkach projektów. BTCPay publicznie podziękował kilku badaczom za odpowiedzialne ujawnienie problemu i pomoc w analizie.

Z relacji zespołu wynika jednak, że czas odegrał tu kluczową rolę. Red Team zakładał, że jeśli oni nie zgłoszą błędów szybko, to i tak zrobi to ktoś inny — prawdopodobnie z mniej szlachetnymi intencjami. Niestety, w przypadku tej konkretnej luki atakujący zdążyli wykorzystać ją jeszcze zanim ostrzeżenie dotarło do wszystkich operatorów.

Co powinni zrobić operatorzy?

Najważniejsza rekomendacja jest prosta: każdy, kto korzysta z LND w połączeniu z BTCPay Server, powinien jak najszybciej zaktualizować oprogramowanie do wersji 2.4.2. Jeżeli aktualizacja nie jest możliwa od ręki, serwer należy tymczasowo wyłączyć. W przypadku tak wrażliwej infrastruktury zwłoka może oznaczać utratę środków.

To wydarzenie jest też przypomnieniem, że bezpieczeństwo w ekosystemie Bitcoina nie kończy się na samym blockchainie. Coraz częściej problemem okazuje się warstwa aplikacyjna, integracje i narzędzia pośredniczące, które w praktyce obsługują płatności merchantów. Nawet jeśli BTC jako sieć pozostaje odporne, błędy w oprogramowaniu wokół niego mogą spowodować bardzo realne straty.

Kolejny sygnał ostrzegawczy dla branży

Ten incydent wpisuje się w serię problemów bezpieczeństwa, które w ostatnich dniach przewijają się przez sektor kryptowalut. Dla użytkowników i firm oznacza to jedno: samo korzystanie z Bitcoin Lightning nie wystarcza, jeśli infrastruktura nie jest regularnie aktualizowana, monitorowana i testowana pod kątem podatności. W praktyce właśnie na tym poziomie najczęściej dochodzi dziś do utraty środków.

BTCPay zapowiedział publikację pełnego raportu powłamaniowego w kolejnych dniach. Dopiero on pokaże dokładniej, jak działał atak i jak można lepiej zabezpieczyć podobne wdrożenia w przyszłości. Na ten moment najistotniejsze pozostaje jedno: jeśli zarządzasz węzłem Lightning, sprawdź swoją konfigurację natychmiast.