ثغرة أمنية خطيرة في خادم BTCPay

[aseemhamza]

قام فريق من مطورى البيتكوين المتفانين فى تعزيز أمن المنظومة بعد اختراق محافظ Coldcard بتشكيل حملة من عدد من المتبرعين مدعومين من OpenSats و عددهم 21 شخصا بفحص المشاريع التى يمكن اختراقها لسرقة البيتكوين عن طريق الثغرات وقد فحصوا 425 مشروعًا ووجدوا 6700 ثغرة أمنية، منها 1029 ثغرة عالية أو حرجة (بنسبة 15.4%) والعقبة الرئيسية التى تواجه الفريق الان هي التواصل مع أصحاب المشاريع لأن كثيرًا منها لا يحتوي على ملف SECURITY.md أو بريد إلكتروني للتواصل.
الحملة قامت بفحص مشاريع البتكوين أمنيًا باستخدام نماذج الذكاء الاصطناعي ومستمرون فى العمل للكشف عن من مزيد من الثغرات
كما اصدرت المجموعة تحذيرا بأنه يوجد ثغرة أمنية خطيرة يتم استغلالها بنشاط في خادم BTCPay، مما قد يؤدي إلى فقدان الأموال. يُرجى تحديث خادم BTCPay إلى الإصدار 2.4.2 أو إيقاف تشغيله فورًا...

. لذا أعتقد اننا بحاجة لمزيد من توخى الحذر عند حفظ البيتكوين فى المحافظ التى لطالما اقتنعنا بها خاصة فى ظل التطورات التى يشهدها مجال الذكاء الاصطناعى ... برائيك ماهى المحافظ الأكثر أمانا حتى لا نستيقظ يوما ونجد الرصيد صفر

المصدر : https://x.com/callebtc/status/2085418268689391792
    https://x.com/BtcpayServer/status/2085755643659522240

[khaled0111]

شكرا على مشاركة الخبر اخي.
هذا عدد كبير من الثغرات الخطيرة بالنسبة لعدد المشاريع التي تم فحصها! اذا قام هؤلاء المطورون باستخدام نماذج الذكاء الاصطناعي لكشف هذه الثغرات فيمكننا ان نتوقع ان المتحيلين و المخترقين قاموا بنفس الشيئ و ربما توصلوا لنفس النتيجة. من الاكيد انه تم استغلال هذه الثغرات في السابق لكن لم يتم الاعلان عن عمليات السرقة لحد الان لسبب او لاخر.
بالنسبة ل BTCPay فان عدد الضحايا المحتملين و كمية الاموال التي يمكن ان تتم سرقتها ستكون كبيرة جدا نظرا لشهرة هذه الخدمة و عدد مستخدميها الكبير.

في المجمل، هذه مبادرة جيدة من قبل هؤلاء المطورين، لكن الا يمكن ان يتسبب الافصاح العلني عن الثغرات التي تم اكتشافها الى تسهيل عمل المخترقين فالان كل ما عليهم فعله هو البحث مثلا عن من مازال لم يقم بترقية سيرفره و استغلال الثغرة ضده!

[yhiaali3]

شكرا لك اخي على مشاركة الخبر ، هذا خبر مهم بالفعل
كما ذكر الأخ خالد هذه خطوة جيدة جدا لكنها سلاح ذو حدين لأن الإعلان عن هذه المشاريع التي فيها ثغرات سيعرضها للهجوم من الهاكرز المتربصين كما أن استخدام الذكاء لفحص هذه الشاريع هو أيضا سلاح ذو حدين لأنه يمكن استخدامه من قبل الهاكرز لكشف الثغرات ومهاجمة المشاريع.

لكنها خطوة في الاتجاه الصحيح لأنه من الضروري جدا فحص المشاريع والتواصل مع المطورين لإصلاح هذه الثغرات قبل اكتشافها من الهاكرز لكن هذه الخطوة يجب أن تكون سرية ومن الأفضل لو يتم تطوير أداة ذكاء اصطناعي تكون خاصة وغير متاحة للجميع حتى لا يستخدمها الهكرز.

أنا مستغرب طالما أنه هناك أدوات ذكاء اصطناعي يمكنها القيام بفحص الثغرات في المشاريع لماذا لايقوم مطورو هذه المشاريع باستخدامها وفحص مشاريعهم قبل أن تتعرض للتهكير خاصة في ظل موجة جنون التهكير التي نشهدها مؤخرا حيث سمعنا عن مئات الحوادث ورغم ذلك لا تزال هذه المشاريع لاتولي الحماية والأمان الاهتمام المطلوب الأمر الذي عرض سمعة كريبتو بالكامل للخطر وأنه لايوجد أمان في كريبتو إطلاقا.

[hugeblack]

الجيد هو انه تم اكتشاف هذه الثغرة قبل ان يتم اساءة استخدامها, اما السئ هو اكتشاف العدد الكبير من الثغرات في هذه الفترة القصيرة.
بالنسبة ل BTCPay ونظرا لانها تعالج المدفوعات وترسلها مباشرة للتخزين البارد فالضرر لن يكون كبير مقارنه بايجاد ثغرات في المحفظة ولكن يجب الانتباه للتحديثات حيث انها ستكون اكثر تاثرا بهذه الثغرات مقارنه بالنسخ المستقرة,ايضا كلما زادت مراجعات المشاريع كان ذلك افضل.

[khaled0111]

^^
اعتقد ان درجة الخطورة تعتمد على نوع الثغرة اخي.
بالفعل، btcpay هي بوابة دفع و تقوم بمعالجة عمليات الدفع، لكن ان كانت الثغرة تمكن المخترق من تغيير عناوين الدفع مثلا فانها ستكون خطيرة جدا.
لا اعرف ان كانت هناك طريقة لتنبيه  جميع مستخدمي هذا البرنامج بشكل الي او ايقاف النسخ المعنية عن العمل لتجنب وقوع اي اضرار او خسائر مادية لان بعض المستخدمين لا ينتبهون لمثل هذه التنبيهات و لا يتابعون اخر اخبار البرامج التي يستعملونها.

[yhiaali3]

^^
اعتقد ان درجة الخطورة تعتمد على نوع الثغرة اخي.
بالفعل، btcpay هي بوابة دفع و تقوم بمعالجة عمليات الدفع، لكن ان كانت الثغرة تمكن المخترق من تغيير عناوين الدفع مثلا فانها ستكون خطيرة جدا.
لا اعرف ان كانت هناك طريقة لتنبيه  جميع مستخدمي هذا البرنامج بشكل الي او ايقاف النسخ المعنية عن العمل لتجنب وقوع اي اضرار او خسائر مادية لان بعض المستخدمين لا ينتبهون لمثل هذه التنبيهات و لا يتابعون اخر اخبار البرامج التي يستعملونها.

حسب بينانس فإن هناك ثغرة خطيرة يتم استغلالها حالياً بنشاط، وتؤثر بشكل خاص على المستخدمين الذين يقومون بتشغيل عقد شبكة البرق (Lightning Network) باستخدام برنامج LND.
https://www.binance.com/en/square/post/353838960842529

بالنسبة ل btcpay فلايوجد هناك تطبيق يتم تحميله أو تحديثه وإنما كما تفضات أخي هو بوابة دفع يمكن استخدامها في أي متجر أو منصة أو خدمات دفع على الانترنت وبالتالي فإن خطورة الثغرات في هذا النظام تنبع من كونه نظام استضافة ذاتي بالأساس يعني إذا تمكن المخترق من تعديل عناوين الدفع داخل الخادم فستتحول الأموال مباشرة إلى محفظته دون علم صاحب المتجر حتى.

يعني مسؤولية الحماية هنا تعق على عاتق المنصات التي تستخدم البوابة ولايمكن للمستخدم فعل أي شيء سوى تجنب استخدام الخدمة حاليا حتى يتم ترقية النظام وإصلاح الثغرات.