ثغرة أمنية خطيرة في خادم BTCPay

[aseemhamza]

قام فريق من مطورى البيتكوين المتفانين فى تعزيز أمن المنظومة بعد اختراق محافظ Coldcard بتشكيل حملة من عدد من المتبرعين مدعومين من OpenSats و عددهم 21 شخصا بفحص المشاريع التى يمكن اختراقها لسرقة البيتكوين عن طريق الثغرات وقد فحصوا 425 مشروعًا ووجدوا 6700 ثغرة أمنية، منها 1029 ثغرة عالية أو حرجة (بنسبة 15.4%) والعقبة الرئيسية التى تواجه الفريق الان هي التواصل مع أصحاب المشاريع لأن كثيرًا منها لا يحتوي على ملف SECURITY.md أو بريد إلكتروني للتواصل.
الحملة قامت بفحص مشاريع البتكوين أمنيًا باستخدام نماذج الذكاء الاصطناعي ومستمرون فى العمل للكشف عن من مزيد من الثغرات
كما اصدرت المجموعة تحذيرا بأنه يوجد ثغرة أمنية خطيرة يتم استغلالها بنشاط في خادم BTCPay، مما قد يؤدي إلى فقدان الأموال. يُرجى تحديث خادم BTCPay إلى الإصدار 2.4.2 أو إيقاف تشغيله فورًا...

. لذا أعتقد اننا بحاجة لمزيد من توخى الحذر عند حفظ البيتكوين فى المحافظ التى لطالما اقتنعنا بها خاصة فى ظل التطورات التى يشهدها مجال الذكاء الاصطناعى ... برائيك ماهى المحافظ الأكثر أمانا حتى لا نستيقظ يوما ونجد الرصيد صفر

المصدر : https://x.com/callebtc/status/2085418268689391792
    https://x.com/BtcpayServer/status/2085755643659522240

[khaled0111]

شكرا على مشاركة الخبر اخي.
هذا عدد كبير من الثغرات الخطيرة بالنسبة لعدد المشاريع التي تم فحصها! اذا قام هؤلاء المطورون باستخدام نماذج الذكاء الاصطناعي لكشف هذه الثغرات فيمكننا ان نتوقع ان المتحيلين و المخترقين قاموا بنفس الشيئ و ربما توصلوا لنفس النتيجة. من الاكيد انه تم استغلال هذه الثغرات في السابق لكن لم يتم الاعلان عن عمليات السرقة لحد الان لسبب او لاخر.
بالنسبة ل BTCPay فان عدد الضحايا المحتملين و كمية الاموال التي يمكن ان تتم سرقتها ستكون كبيرة جدا نظرا لشهرة هذه الخدمة و عدد مستخدميها الكبير.

في المجمل، هذه مبادرة جيدة من قبل هؤلاء المطورين، لكن الا يمكن ان يتسبب الافصاح العلني عن الثغرات التي تم اكتشافها الى تسهيل عمل المخترقين فالان كل ما عليهم فعله هو البحث مثلا عن من مازال لم يقم بترقية سيرفره و استغلال الثغرة ضده!

[yhiaali3]

شكرا لك اخي على مشاركة الخبر ، هذا خبر مهم بالفعل
كما ذكر الأخ خالد هذه خطوة جيدة جدا لكنها سلاح ذو حدين لأن الإعلان عن هذه المشاريع التي فيها ثغرات سيعرضها للهجوم من الهاكرز المتربصين كما أن استخدام الذكاء لفحص هذه الشاريع هو أيضا سلاح ذو حدين لأنه يمكن استخدامه من قبل الهاكرز لكشف الثغرات ومهاجمة المشاريع.

لكنها خطوة في الاتجاه الصحيح لأنه من الضروري جدا فحص المشاريع والتواصل مع المطورين لإصلاح هذه الثغرات قبل اكتشافها من الهاكرز لكن هذه الخطوة يجب أن تكون سرية ومن الأفضل لو يتم تطوير أداة ذكاء اصطناعي تكون خاصة وغير متاحة للجميع حتى لا يستخدمها الهكرز.

أنا مستغرب طالما أنه هناك أدوات ذكاء اصطناعي يمكنها القيام بفحص الثغرات في المشاريع لماذا لايقوم مطورو هذه المشاريع باستخدامها وفحص مشاريعهم قبل أن تتعرض للتهكير خاصة في ظل موجة جنون التهكير التي نشهدها مؤخرا حيث سمعنا عن مئات الحوادث ورغم ذلك لا تزال هذه المشاريع لاتولي الحماية والأمان الاهتمام المطلوب الأمر الذي عرض سمعة كريبتو بالكامل للخطر وأنه لايوجد أمان في كريبتو إطلاقا.

[hugeblack]

الجيد هو انه تم اكتشاف هذه الثغرة قبل ان يتم اساءة استخدامها, اما السئ هو اكتشاف العدد الكبير من الثغرات في هذه الفترة القصيرة.
بالنسبة ل BTCPay ونظرا لانها تعالج المدفوعات وترسلها مباشرة للتخزين البارد فالضرر لن يكون كبير مقارنه بايجاد ثغرات في المحفظة ولكن يجب الانتباه للتحديثات حيث انها ستكون اكثر تاثرا بهذه الثغرات مقارنه بالنسخ المستقرة,ايضا كلما زادت مراجعات المشاريع كان ذلك افضل.

[khaled0111]

^^
اعتقد ان درجة الخطورة تعتمد على نوع الثغرة اخي.
بالفعل، btcpay هي بوابة دفع و تقوم بمعالجة عمليات الدفع، لكن ان كانت الثغرة تمكن المخترق من تغيير عناوين الدفع مثلا فانها ستكون خطيرة جدا.
لا اعرف ان كانت هناك طريقة لتنبيه  جميع مستخدمي هذا البرنامج بشكل الي او ايقاف النسخ المعنية عن العمل لتجنب وقوع اي اضرار او خسائر مادية لان بعض المستخدمين لا ينتبهون لمثل هذه التنبيهات و لا يتابعون اخر اخبار البرامج التي يستعملونها.

[yhiaali3]

^^
اعتقد ان درجة الخطورة تعتمد على نوع الثغرة اخي.
بالفعل، btcpay هي بوابة دفع و تقوم بمعالجة عمليات الدفع، لكن ان كانت الثغرة تمكن المخترق من تغيير عناوين الدفع مثلا فانها ستكون خطيرة جدا.
لا اعرف ان كانت هناك طريقة لتنبيه  جميع مستخدمي هذا البرنامج بشكل الي او ايقاف النسخ المعنية عن العمل لتجنب وقوع اي اضرار او خسائر مادية لان بعض المستخدمين لا ينتبهون لمثل هذه التنبيهات و لا يتابعون اخر اخبار البرامج التي يستعملونها.

حسب بينانس فإن هناك ثغرة خطيرة يتم استغلالها حالياً بنشاط، وتؤثر بشكل خاص على المستخدمين الذين يقومون بتشغيل عقد شبكة البرق (Lightning Network) باستخدام برنامج LND.
https://www.binance.com/en/square/post/353838960842529

بالنسبة ل btcpay فلايوجد هناك تطبيق يتم تحميله أو تحديثه وإنما كما تفضات أخي هو بوابة دفع يمكن استخدامها في أي متجر أو منصة أو خدمات دفع على الانترنت وبالتالي فإن خطورة الثغرات في هذا النظام تنبع من كونه نظام استضافة ذاتي بالأساس يعني إذا تمكن المخترق من تعديل عناوين الدفع داخل الخادم فستتحول الأموال مباشرة إلى محفظته دون علم صاحب المتجر حتى.

يعني مسؤولية الحماية هنا تعق على عاتق المنصات التي تستخدم البوابة ولايمكن للمستخدم فعل أي شيء سوى تجنب استخدام الخدمة حاليا حتى يتم ترقية النظام وإصلاح الثغرات.

[Kavelj22]

يعني مسؤولية الحماية هنا تعق على عاتق المنصات التي تستخدم البوابة ولايمكن للمستخدم فعل أي شيء سوى تجنب استخدام الخدمة حاليا حتى يتم ترقية النظام وإصلاح الثغرات.

اذا كان مستخدمو البوابة غير واعيين بما يحصل و يثقون بالبوابة ثقة عمياء فانهم بلا شك يفتقرون لابسط بديهيات التعامل بالكريبتو. انا فعلا اعتقد ان من يدمج بوابة btcpay لابد  ان يكون من المهتمين بالمجال و لديه الدراية التقنية اللازمة مهما كان المتجر صغيرا. عدم متابعة التحديثات باستمرار يعني ان درجة المخاطرة تبقى دوما عالية حتى لو ليس هناك ثغرات في الوقت الحالي. ما حصل مؤخرا مع محفظة هاردوير من اختراق خطير يجب ان يكون قد رفع الراية الحمراء لدى الجميع بانه لا يجب الوثوق بأي نظام و ان القاعدة صحيحة بان لكل نظام ثغرات تنتظر من يكتشفها ليستغلها. طبعا من حسن الحظ ان هناك بدائل موثوقة للبوابة الى حين تجاوز الازمة. يكفي ان يكون المستخدم مواكبا لما يحصل فقط.

[khaled0111]

^^
ليس بالضرورة اخي. هناك من يمتلك متجر يقبل الدفع بالعملات المشفرة لكن ليست له خبرة حتى متوسطة بهذا المجال او المجال التقني بشكل عام. العديدون يدفعون لشركات او لاشخاص ليقوموا بانشاء متاجرهم لهم و هم يهتمون بجانب التسويق فقط.
على العموم، تغيير عناوين الدفع هو مجرد احتمال فقط و نحن لازلنا لا نعرف ما هي الثغرة بالضبط و ما هي الصلاحيات التي تمكن المخترق من الوصول اليها فعليا. لكن بما انه تم تصنيفها على انها ثغرة خطيرة فلا بد من التعامل مع الخبر بجدية و كما ذكر الاخ يحيى، جزء من المسؤولية يقع على المستخدم العادي الذي عليه تجنب التعامل مع اي متجر يستخدم بوابة الدفع هذه في الوقت الحالي.

[yhiaali3]

يبدو أن الشركة أصدرت تحديث رسمي ووضعت تحذير في صفحتها الرئيسية

إذا كنت تستخدم LND وتشغل إصدارًا من خادم BTCPay قبل الإصدار 2.4.2، بما في ذلك الإصدار التجريبي 2.4.2، فقم بالتحديث إلى الإصدار 2.4.2 الآن .

إذا كنت تستخدم تطبيق Lightning آخر أو لا تستخدم Lightning على الإطلاق، فلن تكون عرضة لمخاطر بيانات اعتماد LND. ومع ذلك، ننصحك بشدة بالتحديث.

https://blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/

كما هو واضح من الاقتباس الثغرة تتعلق بشبكة البرق تحديدا وأما الإرسال على الشبكة العادية فلم يتضرر بالثغرة ولكن رغم ذلك على جميع المشغلين المستخدمين للخدمة أن يقوموا بالتحديث إلى الإصدار الجديد

[OmegaStarScream]

الظاهر أن شبكة البرق أصبحت هدف أحد المخترقين (و الذي أفترض أنه نفس الشخص وراء منصة Boltz و وراء Zeus LN في الأسبوعين الماضيين)[1][2]

أما بالنسبة ل BTCPayServer .[4]فيبدو أنهم على استعداد لاعطاء 10% (من البيتكوين المسروق) كجائزة لأي شخص يساعد في استرجاع الأموال[3]

[1] https://x.com/ZeusLN/status/2085113369367871605
[2] https://x.com/Boltzhq/status/2084311537502630319
[3] https://bitcointalk.org/index.php?topic=5590972.msg67032969#msg67032969
[4] https://x.com/BtcpayServer/status/2086875600103367109

[khaled0111]

^^
هل هناك اي معلومات عن حجم الاموال التي تم سرقتها؟
في حال تمكن شخص ما من المساعدة على استرجاع العملات المسروقة، رغم اني اعتقد ان ذل امر صعب خاصة ان الامر يتعلق بشبكة البرق التي يعتبر تتبع عمليات التحويل عليها اصعب بكثير من تتبع عمليات التحويل على الشبكة الرئيسية، مالذي ستقوم به الشركة بالعملات المسترجعة؟ هل ستعيدها للاشخاص لمتضررين و هل ستقوم هي بدفع مبلغ المكافأة ام ستقتطعها من المبلغ المسترجع؟

بما ان المخترق يستهدف المشاريع التي تدعم شبكة البرق، فعلى الاغلب الاشكال في الشبكة نفسها او بالاحرى في احد تطبيقاتها و ليس في سيرفر btcpay. غريب جدا ما يحدث في عالم الكريبتو مؤخرا!

تعديل: بعد قراءة تغريدة btcpay، يبدو ان المكافأة سيدفعها مجموعة من المتبرعين الداعمين للمشروع.

[yhiaali3]

تعم أخي خالد السرقة تمت من بعض المشغلين الذين يستخدمون BTCPay Server مثل شركة شركة Foundation الشركة المصنعة للمحافظ والأجهزة الأمنية، حيث تم تفريغ عُقد شبكة البرق الخاصة بها بالكامل ومجلة ومنصة Citadel21 وهي منصة نشر شهيرة متخصصة بالبتكوين. بالإضافة إلى عدد آخر من التجار المستقلين ومُشغلي العُقد الذاتية.
https://www.altcoinbuzz.io/btcpay-server-lightning-access-restricted-after-attack

بالنسبة للمبالغ المسروقة لم يتم الإفصاح عنها رسميا لكن من خلال المكافأة التي تبلغ 10% لأي شخص يساعد في استرجاع الأموال والتي تم وضع حد أقصى لها 3 بيتكوين فيمكن تقدير المبالغ المسروقة بحوالي 30 بيتكوين أي حوالي مليوني دولار أو أقل.

[khaled0111]

^^
بصراحة، المكافأة التي تم تقديمها للفريق الذي قام بالكشف عن الثغرة و التبليغ عنها و المقدرة ب 0.21 بيتكوين تعتبر مكافأة صغيرة بالمقارنة مع حجم الشركة (رغم كون السيرفر غير مدفوع و مجاني) و كذلك مقارنة بخطورة الثغرة.
صحيح انه لا توجد اي ارقام رسمية حول حجم المبلغ الذي تم سرقته (و لا اعتقد انه يمكن تحديد ذلك المبلغ بدقة) لكن اتوقع ان يكون اكبر بكثير من ثلاثون بيتكوين رغم ان سقف المكافأة هو ثلاث بيتكوين فقط. ربما وضع هذا السقف يعود لكون الشركة او المنظمة المطورة للسيرفر غير ربحية بالاساس اي ليس لها مصادر دخل ثابتة تمكنها من دفع مكافأة اكبر.

[OmegaStarScream]

يوم جديد وثغرة جديدة...[1][2]. هنالك تقارير حول سيرفيرات (كانت تستخدم نسخة 2.4.1) تم استنزاف محافظها كليا. ان كان هنالك من يستخدم نسخة أقدم من هذا، من الأفضل التحديث أو ايقاف السيرفر كليا الى حين أن تظهر معلومات جديدة

لحد الساعة، لا يوجد معلومات عن حجم الخسائر. لكن صراحة كارثة لما الت اليه الأمور... مفتوح المصدر يهكر، مغلق المصدر يهكر، مشاريع أو منصات فيمتها ملايير الدولارات تهكر.....

[1] https://x.com/BtcpayServer/status/2117020340815819262
[2] https://x.com/BtcpayServer/status/2117106238123123008

[khaled0111]

^^
اعتقد ان هذا كان متوقعا بالنسبة للاشخاص الذين لم يقوموا بتحديث خوادمهم للنسخة الاخيرة كما تم الاعلان عن ذلك.
لا اعلم ان كانت نفس الثغرة التي اعلن عنها سابقا هي التي تم استغلالها في حوادث السرقة هذه لكن ان كانت هي بالفعل فالمستخدمون يتحملون المسؤولية لاكبر لعدم التحديث للاصدار الاخير كما طلب منهم. حسب التغريدة الاخيرة فلا يوجد اي تقارير حول خوادم تستخدم النسخة الاخيرة تم تهكيرها و سرقة محافظها الساخنة. هذا لا يعني انها امنة تماما و لا تحتوي على ثغرات لكنها الحل الوحيد المتوفر حاليا.

[yhiaali3]

لا حول ولا قوة إلا بالله فعلا الوضع لم يعد يطاق مستحيل أن يمر يوم بدون تهكير جديد
واضح أن الهاكرز يستخدمون الذكاء الاصطناعي وواضح أنهم طوروا أدوات تهكير خارقة تكشف الثغرات البرمجية بأضعاف سرعتهم في السابق
ولكن أنا للي مجنني أكثر شي أنو كيف الهاكرز يتمكنون من التطور بهذه السرعة الكبيرة بينما المطورون أو شركات الأمن السيبراني يقفون عاجزين وأمامهم نفس الأدوات أو ربما أكثر

بالنسبة ل BTCPay غريب أنهم اكتشفوا ثغرة من فترة قريبة وتعرضوا للتهكير وهذه المرة الثانية ، يعني معقول لم يتعلموا من الدرس الأول ويكثفوا جهودهم لكشف كل الثغرات وإصلاحها قبل أن يكتشفها الهاكرز؟؟!!
 لكن يبدون أنهم بخيلين جدا تجاه الدفع من أجل الحماية وهذا واضح من المكافأة الزهيدة التي أعطوها للمطور الذي كشف الثغرة الأولى والتي لا تتناسب أبدا مع جهوده ولا تتناسب مع حجم الخسائر التي يمكن أن تتعرض لها الشركة.

[ObeyKnock]

فالمستخدمون يتحملون المسؤولية لاكبر لعدم التحديث للاصدار الاخير كما طلب منهم

الناس الذين لم يتم تحديثهم، نعم، هم مسؤولون جزئيًا على الأقل. ومع ذلك، فإن لغة BTCPay الخاصة في الإفصاح الأصلي ("العملاء الذين لا يستخدمون LND لا يتأثرون بتسرب البيانات في LND" + "نوصي جميع العملاء بالتحديث") كانت مفهومة بشكل معقول لتعني أن مستخدمي LND فقط هم المعرضون للخطر. من جانبي، سأميل إلى الموافقة على أنه ليس مضللاً بشكل صارخ.

لا أعرف، لا أعتقد أن أي شخص يمكن أن يستنتج بشكل معقول أن محافظهم الساخنة على السلاسل العادية كانت معرضة للخطر بسبب هذه الصياغة. وأوافق على أن الأشخاص الذين يشغلون برامج معروفة بأنها ضعيفة يستحقون جزءًا كبيرًا من اللوم، لكنني أيضًا لا أعتقد أن الصياغة التي استخدمتها BTCPay في أغسطس كانت مضللة بشكل صارخ.

أوضحت BTCPay لاحقًا أن الإصدارات الأقل من 2.4.2 كانت ضعيفة، ولكن ذلك كان بعد فوات الأوان، ولم يوضحوا بعد ما إذا كانت نفس المشكلة أم لا.

[hugeblack]

بالنسبة ل BTCPay غريب أنهم اكتشفوا ثغرة من فترة قريبة وتعرضوا للتهكير وهذه المرة الثانية ، يعني معقول لم يتعلموا من الدرس الأول ويكثفوا جهودهم لكشف كل الثغرات وإصلاحها قبل أن يكتشفها الهاكرز؟؟!!

هم اغلقوا الثغرةولكن الثغرة اتاحت للهاركز وصول لمفات حساسة في السيرفر وبالتالي فمجرد تحديث السيرفر لن يكون مفيد ان امتلك الهاركز تلك البيانات من قبل وبالتالي سيتفاجأ الملاك ان الخدمة اصبحت آمنة بسبب انهم قاموا بالتحديث متجاهلين ان الاذونات قد حصل علي الهاكرز من قبل ولم يقم باستخدامها مما تسبب في خسائر.

كل هذا يدل علي انه بمجرد حدوث اي ثغرة فيجب ان تراجع كود الاصلاحات بدقة لتعرف ماذا حدث ومنه تقرر الاجراءات الضرورية او من باب السلامة ان تقوم بحذف كل الاعدادات السابقة والبدء من جديد من محفظة جديدة بدلا من مجرد التحديث والدعاء ان كل شئ سيكون علي ما يرام.

عموما طالما ان الطفرة الاخيرة بسبب AI فهي مسالة وقت قبل ان نجد برمجيات مضادة تستخدم الذكاء الاطصناعي حينها سيكون من لديه الموارد ويستطيع تدريب النماذج بشكل اسرع هو من سينجح اما في التهكير او اغلاق الثغرات, صراحه هذا سيتطلب موارد مادية ضخمه واستهلاك اكبر للكهرباء اكثر من اي وقت ماضي.