Vulnerabilidade crítica no BTCPay Server

[mikel_012]

A semana não está fácil

BTCPay Server publicou:

Existe uma vulnerabilidade crítica sendo ativamente explorada no BTCPay Server, que pode resultar na perda de fundos.

Por favor, atualize seu BTCPayServer para a versão 2.4.2 acessando Admin Dashboard -> Server -> Maintenance -> Update e verifique a string da versão 2.4.2 no rodapé.

Se você não puder atualizar imediatamente, desligue seu BTCPay Server para evitar acesso não autorizado até que possa atualizar.

Fonte: https://x.com/BtcpayServer/status/2085755643659522240

Já paguei coisas com BTCPay Server por que muitas lojas e pessoas usam para receber pagamentos

Alguem sabe qual o problema? Não encontrei mais informações

[criptoevangelista]

caramba que loucura está a segurança ultimamente, mas vejamos pelo lado bom, são brechas em tudo quanto é canto menos na rede bitcoin, pelo menos estamos seguro nesse quesito hehehe

tomara que com a computação quantica e IA, nosso sonho nao se torne um pesadelo

[sabotag3x]

Alguem sabe qual o problema? Não encontrei mais informações

Da pra ver as mudanças no GitHub, mas não sei o que o código anterior fazia: https://github.com/btcpayserver/btcpayserver/commit/6689cad41979c73f769fd42e38268fed1fa800fa

Daqui a pouco aparece um desenvolvedor para explicar

caramba que loucura está a segurança ultimamente, mas vejamos pelo lado bom, são brechas em tudo quanto é canto menos na rede bitcoin, pelo menos estamos seguro nesse quesito hehehe

tomara que com a computação quantica e IA, nosso sonho nao se torne um pesadelo

Depois desse primeiro choque, acredito que vá melhorar muito.. não vai sobrar muita vulnerabilidade para ser explorada

[mikel_012]

caramba que loucura está a segurança ultimamente, mas vejamos pelo lado bom, são brechas em tudo quanto é canto menos na rede bitcoin, pelo menos estamos seguro nesse quesito hehehe

tomara que com a computação quantica e IA, nosso sonho nao se torne um pesadelo

Parece que estão atacando projetos que vemos como de maximalistas do bitcoin

Primeiro foi o coldcard que muitos recomendavam para largar o trezor e ledger, e agora a btcpay server que recomendavam para largar os sistemas de pagamento com muitas regras e regulamentações

Mas isso tudo vai deixar o ecossistema mais forte

[joker_josue]

Depois desse primeiro choque, acredito que vá melhorar muito.. não vai sobrar muita vulnerabilidade para ser explorada

Isto é só o começo.
Diria que é o ensaio para ir para as coisas menos ligadas as cripto.

Parece que estão atacando projetos que vemos como de maximalistas do bitcoin

Pois, é onde esta o dinheiro.
A malta maxi é que consegue estar mais fora do radar, isso faz com que seja mais difícil irem atras, fazerem processos e coisas do genero.

Agora é mesmo esperar que esses projetos se tornem mais fortes, ou acabem por desistir.

[rdluffy]

E já apareceu notícias de gente afetada, e olha que é BR


Fonte https://x.com/bitdov/status/2085849942065639748

Esse aqui seria o suposto endereço do atacante:
https://mempool.space/address/19jSfadPiKa4aCefj4F7uEYbhMEt2L8SCH

[mikel_012]

Soltaram informações do ataque: https://x.com/BtcpayServer/status/2085865561137831938

O BTCPay Server 2.4.2 corrige uma vulnerabilidade crítica de segurança que afeta todas as versões anteriores. O problema poderia permitir que um invasor remoto não autenticado obtivesse arquivos de credenciais .macaroon do LND, uma implementação da Lightning Network.

Essas credenciais poderiam ser usadas para assumir o controle de um nó LND e movimentar fundos.

Confirmamos que invasores exploraram essa vulnerabilidade. Alguns usuários foram afetados e tiveram fundos roubados.

A vulnerabilidade está presente em todas as versões do BTCPay Server anteriores à 2.4.2, incluindo as versões candidatas da 2.4.2.

Nenhuma IA usada por eles conseguiu detectar essa vulnerabilidade

[joker_josue]

Nenhuma IA usada por eles conseguiu detectar essa vulnerabilidade

Isso é que eu acho estranho. Eles acho que tinham estatuto, para solicitar um acesso de devs da Anthropic e do OpenAI. Será que eles não se candidataram a isso?

Será que eles nunca tinha explorada a fundo o uso de IA para procurar vulnerabilidades?
É que conhecendo muita malta dev, não era estranho serem um pouco orgulhosas para usar esse tipo de ferramentas...

[Forsyth Jones]

Soltaram informações do ataque: https://x.com/BtcpayServer/status/2085865561137831938

O BTCPay Server 2.4.2 corrige uma vulnerabilidade crítica de segurança que afeta todas as versões anteriores. O problema poderia permitir que um invasor remoto não autenticado obtivesse arquivos de credenciais .macaroon do LND, uma implementação da Lightning Network.

Essas credenciais poderiam ser usadas para assumir o controle de um nó LND e movimentar fundos.

Confirmamos que invasores exploraram essa vulnerabilidade. Alguns usuários foram afetados e tiveram fundos roubados.

A vulnerabilidade está presente em todas as versões do BTCPay Server anteriores à 2.4.2, incluindo as versões candidatas da 2.4.2.

Nenhuma IA usada por eles conseguiu detectar essa vulnerabilidade

Resumo da ópera: todo mundo que tiver abaixo da versão 2.4.2, devem atualizar o BTCPay Server (mesmo que não use a lightning LND, por precaução).

Resumo

Se você usa LND e executa uma versão do BTCPay Server anterior à 2.4.2, atualize para a 2.4.2 agora.

A vulnerabilidade está presente em todas as versões do BTCPay Server anteriores à 2.4.2. Outras implementações e implantações do Lightning que não usam o Lightning não estão expostas ao risco de credencial LND e não precisam ser atualizadas para esse problema específico, mas os encorajamos fortemente a instalar a atualização. As carteiras on-chain do BTCPay Server, incluindo carteiras quentes, não são afetadas.

Se você usar LND, verifique se há atividade que você não reconhece no seu nó e nos balanços. Se você não puder atualizar agora, coloque o servidor offline até que você possa.

Isso é que eu acho estranho. Eles acho que tinham estatuto, para solicitar um acesso de devs da Anthropic e do OpenAI. Será que eles não se candidataram a isso?

Será que eles nunca tinha explorada a fundo o uso de IA para procurar vulnerabilidades?
É que conhecendo muita malta dev, não era estranho serem um pouco orgulhosas para usar esse tipo de ferramentas...

Vão ter que engolir um pouco esse orgulho, se não pode contra as I.A, junte-se à elas de maneira responsável