ثغرة أمنية خطيرة في خادم BTCPay

[aseemhamza]

قام فريق من مطورى البيتكوين المتفانين فى تعزيز أمن المنظومة بعد اختراق محافظ Coldcard بتشكيل حملة من عدد من المتبرعين مدعومين من OpenSats و عددهم 21 شخصا بفحص المشاريع التى يمكن اختراقها لسرقة البيتكوين عن طريق الثغرات وقد فحصوا 425 مشروعًا ووجدوا 6700 ثغرة أمنية، منها 1029 ثغرة عالية أو حرجة (بنسبة 15.4%) والعقبة الرئيسية التى تواجه الفريق الان هي التواصل مع أصحاب المشاريع لأن كثيرًا منها لا يحتوي على ملف SECURITY.md أو بريد إلكتروني للتواصل.
الحملة قامت بفحص مشاريع البتكوين أمنيًا باستخدام نماذج الذكاء الاصطناعي ومستمرون فى العمل للكشف عن من مزيد من الثغرات
كما اصدرت المجموعة تحذيرا بأنه يوجد ثغرة أمنية خطيرة يتم استغلالها بنشاط في خادم BTCPay، مما قد يؤدي إلى فقدان الأموال. يُرجى تحديث خادم BTCPay إلى الإصدار 2.4.2 أو إيقاف تشغيله فورًا...

. لذا أعتقد اننا بحاجة لمزيد من توخى الحذر عند حفظ البيتكوين فى المحافظ التى لطالما اقتنعنا بها خاصة فى ظل التطورات التى يشهدها مجال الذكاء الاصطناعى ... برائيك ماهى المحافظ الأكثر أمانا حتى لا نستيقظ يوما ونجد الرصيد صفر

المصدر : https://x.com/callebtc/status/2085418268689391792
    https://x.com/BtcpayServer/status/2085755643659522240

[khaled0111]

شكرا على مشاركة الخبر اخي.
هذا عدد كبير من الثغرات الخطيرة بالنسبة لعدد المشاريع التي تم فحصها! اذا قام هؤلاء المطورون باستخدام نماذج الذكاء الاصطناعي لكشف هذه الثغرات فيمكننا ان نتوقع ان المتحيلين و المخترقين قاموا بنفس الشيئ و ربما توصلوا لنفس النتيجة. من الاكيد انه تم استغلال هذه الثغرات في السابق لكن لم يتم الاعلان عن عمليات السرقة لحد الان لسبب او لاخر.
بالنسبة ل BTCPay فان عدد الضحايا المحتملين و كمية الاموال التي يمكن ان تتم سرقتها ستكون كبيرة جدا نظرا لشهرة هذه الخدمة و عدد مستخدميها الكبير.

في المجمل، هذه مبادرة جيدة من قبل هؤلاء المطورين، لكن الا يمكن ان يتسبب الافصاح العلني عن الثغرات التي تم اكتشافها الى تسهيل عمل المخترقين فالان كل ما عليهم فعله هو البحث مثلا عن من مازال لم يقم بترقية سيرفره و استغلال الثغرة ضده!

[yhiaali3]

شكرا لك اخي على مشاركة الخبر ، هذا خبر مهم بالفعل
كما ذكر الأخ خالد هذه خطوة جيدة جدا لكنها سلاح ذو حدين لأن الإعلان عن هذه المشاريع التي فيها ثغرات سيعرضها للهجوم من الهاكرز المتربصين كما أن استخدام الذكاء لفحص هذه الشاريع هو أيضا سلاح ذو حدين لأنه يمكن استخدامه من قبل الهاكرز لكشف الثغرات ومهاجمة المشاريع.

لكنها خطوة في الاتجاه الصحيح لأنه من الضروري جدا فحص المشاريع والتواصل مع المطورين لإصلاح هذه الثغرات قبل اكتشافها من الهاكرز لكن هذه الخطوة يجب أن تكون سرية ومن الأفضل لو يتم تطوير أداة ذكاء اصطناعي تكون خاصة وغير متاحة للجميع حتى لا يستخدمها الهكرز.

أنا مستغرب طالما أنه هناك أدوات ذكاء اصطناعي يمكنها القيام بفحص الثغرات في المشاريع لماذا لايقوم مطورو هذه المشاريع باستخدامها وفحص مشاريعهم قبل أن تتعرض للتهكير خاصة في ظل موجة جنون التهكير التي نشهدها مؤخرا حيث سمعنا عن مئات الحوادث ورغم ذلك لا تزال هذه المشاريع لاتولي الحماية والأمان الاهتمام المطلوب الأمر الذي عرض سمعة كريبتو بالكامل للخطر وأنه لايوجد أمان في كريبتو إطلاقا.

[hugeblack]

الجيد هو انه تم اكتشاف هذه الثغرة قبل ان يتم اساءة استخدامها, اما السئ هو اكتشاف العدد الكبير من الثغرات في هذه الفترة القصيرة.
بالنسبة ل BTCPay ونظرا لانها تعالج المدفوعات وترسلها مباشرة للتخزين البارد فالضرر لن يكون كبير مقارنه بايجاد ثغرات في المحفظة ولكن يجب الانتباه للتحديثات حيث انها ستكون اكثر تاثرا بهذه الثغرات مقارنه بالنسخ المستقرة,ايضا كلما زادت مراجعات المشاريع كان ذلك افضل.

[khaled0111]

^^
اعتقد ان درجة الخطورة تعتمد على نوع الثغرة اخي.
بالفعل، btcpay هي بوابة دفع و تقوم بمعالجة عمليات الدفع، لكن ان كانت الثغرة تمكن المخترق من تغيير عناوين الدفع مثلا فانها ستكون خطيرة جدا.
لا اعرف ان كانت هناك طريقة لتنبيه  جميع مستخدمي هذا البرنامج بشكل الي او ايقاف النسخ المعنية عن العمل لتجنب وقوع اي اضرار او خسائر مادية لان بعض المستخدمين لا ينتبهون لمثل هذه التنبيهات و لا يتابعون اخر اخبار البرامج التي يستعملونها.

[yhiaali3]

^^
اعتقد ان درجة الخطورة تعتمد على نوع الثغرة اخي.
بالفعل، btcpay هي بوابة دفع و تقوم بمعالجة عمليات الدفع، لكن ان كانت الثغرة تمكن المخترق من تغيير عناوين الدفع مثلا فانها ستكون خطيرة جدا.
لا اعرف ان كانت هناك طريقة لتنبيه  جميع مستخدمي هذا البرنامج بشكل الي او ايقاف النسخ المعنية عن العمل لتجنب وقوع اي اضرار او خسائر مادية لان بعض المستخدمين لا ينتبهون لمثل هذه التنبيهات و لا يتابعون اخر اخبار البرامج التي يستعملونها.

حسب بينانس فإن هناك ثغرة خطيرة يتم استغلالها حالياً بنشاط، وتؤثر بشكل خاص على المستخدمين الذين يقومون بتشغيل عقد شبكة البرق (Lightning Network) باستخدام برنامج LND.
https://www.binance.com/en/square/post/353838960842529

بالنسبة ل btcpay فلايوجد هناك تطبيق يتم تحميله أو تحديثه وإنما كما تفضات أخي هو بوابة دفع يمكن استخدامها في أي متجر أو منصة أو خدمات دفع على الانترنت وبالتالي فإن خطورة الثغرات في هذا النظام تنبع من كونه نظام استضافة ذاتي بالأساس يعني إذا تمكن المخترق من تعديل عناوين الدفع داخل الخادم فستتحول الأموال مباشرة إلى محفظته دون علم صاحب المتجر حتى.

يعني مسؤولية الحماية هنا تعق على عاتق المنصات التي تستخدم البوابة ولايمكن للمستخدم فعل أي شيء سوى تجنب استخدام الخدمة حاليا حتى يتم ترقية النظام وإصلاح الثغرات.

[Kavelj22]

يعني مسؤولية الحماية هنا تعق على عاتق المنصات التي تستخدم البوابة ولايمكن للمستخدم فعل أي شيء سوى تجنب استخدام الخدمة حاليا حتى يتم ترقية النظام وإصلاح الثغرات.

اذا كان مستخدمو البوابة غير واعيين بما يحصل و يثقون بالبوابة ثقة عمياء فانهم بلا شك يفتقرون لابسط بديهيات التعامل بالكريبتو. انا فعلا اعتقد ان من يدمج بوابة btcpay لابد  ان يكون من المهتمين بالمجال و لديه الدراية التقنية اللازمة مهما كان المتجر صغيرا. عدم متابعة التحديثات باستمرار يعني ان درجة المخاطرة تبقى دوما عالية حتى لو ليس هناك ثغرات في الوقت الحالي. ما حصل مؤخرا مع محفظة هاردوير من اختراق خطير يجب ان يكون قد رفع الراية الحمراء لدى الجميع بانه لا يجب الوثوق بأي نظام و ان القاعدة صحيحة بان لكل نظام ثغرات تنتظر من يكتشفها ليستغلها. طبعا من حسن الحظ ان هناك بدائل موثوقة للبوابة الى حين تجاوز الازمة. يكفي ان يكون المستخدم مواكبا لما يحصل فقط.

[khaled0111]

^^
ليس بالضرورة اخي. هناك من يمتلك متجر يقبل الدفع بالعملات المشفرة لكن ليست له خبرة حتى متوسطة بهذا المجال او المجال التقني بشكل عام. العديدون يدفعون لشركات او لاشخاص ليقوموا بانشاء متاجرهم لهم و هم يهتمون بجانب التسويق فقط.
على العموم، تغيير عناوين الدفع هو مجرد احتمال فقط و نحن لازلنا لا نعرف ما هي الثغرة بالضبط و ما هي الصلاحيات التي تمكن المخترق من الوصول اليها فعليا. لكن بما انه تم تصنيفها على انها ثغرة خطيرة فلا بد من التعامل مع الخبر بجدية و كما ذكر الاخ يحيى، جزء من المسؤولية يقع على المستخدم العادي الذي عليه تجنب التعامل مع اي متجر يستخدم بوابة الدفع هذه في الوقت الحالي.

[yhiaali3]

يبدو أن الشركة أصدرت تحديث رسمي ووضعت تحذير في صفحتها الرئيسية

إذا كنت تستخدم LND وتشغل إصدارًا من خادم BTCPay قبل الإصدار 2.4.2، بما في ذلك الإصدار التجريبي 2.4.2، فقم بالتحديث إلى الإصدار 2.4.2 الآن .

إذا كنت تستخدم تطبيق Lightning آخر أو لا تستخدم Lightning على الإطلاق، فلن تكون عرضة لمخاطر بيانات اعتماد LND. ومع ذلك، ننصحك بشدة بالتحديث.

https://blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/

كما هو واضح من الاقتباس الثغرة تتعلق بشبكة البرق تحديدا وأما الإرسال على الشبكة العادية فلم يتضرر بالثغرة ولكن رغم ذلك على جميع المشغلين المستخدمين للخدمة أن يقوموا بالتحديث إلى الإصدار الجديد