Το BTCPay κόβει την απομακρυσμένη πρόσβαση στους κόμβους Lightning μετά από επιθέσεις που εξάντλησαν κεφάλαια από διαχειριστές που εκτελούν το λογισμικό πληρωμών. Το Ίδρυμα και το Citadel21 ανέφεραν και τα δύο παραβιασμένους κόμβους τις τελευταίες ημέρες. Το συνολικό ποσό που κλάπηκε και ο αριθμός των επηρεαζόμενων διαχειριστών παραμένουν άγνωστα.
Γιατί η απομακρυσμένη πρόσβαση κλειδώνεται
Το BTCPay προχώρησε σε περιορισμό των απομακρυσμένων συνδέσεων Lightning μετά τις αναφορές κλοπής. Η αλλαγή σημαίνει ότι οι διαχειριστές δεν μπορούν πλέον να φτάσουν στους κόμβους τους από έξω από ένα τοπικό δίκτυο όπως μπορούσαν πριν.
Η απόφαση είναι άμεση απάντηση στους εξαντλημένους κόμβους. Το BTCPay δεν έχει διευκρινίσει την ακριβή ευπάθεια ή τη μέθοδο επίθεσης, μόνο ότι η απομακρυσμένη πρόσβαση αποτελούσε αρκετό κίνδυνο για να δικαιολογήσει τον περιορισμό. Για τους διαχειριστές που βασίζονταν στον έλεγχο υπολοίπων ή στη δρομολόγηση πληρωμών από άλλο μηχάνημα, αυτή η ροή εργασίας έχει πλέον χαθεί.
Ποιοι ανέφεραν τους εξαντλημένους κόμβους
Το Ίδρυμα και το Citadel21 δήλωσαν και οι δύο ότι οι κόμβοι τους Lightning αδειάστηκαν. Οι αναφορές τους ήταν η αφορμή για την ευρύτερη δράση του BTCPay.
Κανένας από τους δύο δεν έχει δημοσιεύσει ένα χρηματικό ποσό για ό,τι αφαιρέθηκε. Η έλλειψη αριθμών καθιστά δυσκολότερο για άλλους διαχειριστές να εκτιμήσουν αν επλήγησαν και αυτοί. Ένας κόμβος μπορεί να εξαντληθεί και ο διαχειριστής να μην το προσέξει μέχρι να ελέγξει τα κανάλια του.
Τι παραμένει ασαφές
Οι ερευνητές δεν έχουν πει αν οι δύο επιθέσεις μοιράζονταν μια μέθοδο, έναν κοινό διαχειριστή ή ένα μοναδικό σημείο αποτυχίας. Το BTCPay δεν έχει επιβεβαιώσει αν οι κλοπές προήλθαν από ελάττωμα στο δικό του λογισμικό ή μέσω κακής διαμόρφωσης στις πλευρές των διαχειριστών.
Η έκταση είναι το ανοιχτό ερώτημα. Μια χούφτα κόμβοι μπορεί να επηρεάζονται, ή ο αριθμός μπορεί να είναι μεγαλύτερος. Μέχρι το BTCPay ή οι επηρεαζόμενοι διαχειριστές να δώσουν περισσότερες λεπτομέρειες, όποιος εκτελεί έναν κόμβο Lightning στην πλατφόρμα καλείται να ελέγξει μόνος του τα κανάλια του.
Το BTCPay δεν έχει πει πότε θα αποκατασταθεί η απομακρυσμένη πρόσβαση, ή αν θα επιστρέψει σε πιο περιορισμένη μορφή. Οι διαχειριστές με εκτεθειμένους κόμβους παρακολουθούν στενά τα υπόλοιπά τους.
