Платежный сервер BTCPay Server объявил о вознаграждении за помощь в возврате активов. Злоумышленники вывели средства через уязвимость в программе на Lightning-узлах. Награда составит десять процентов от возвращенной суммы без дополнительных условий. Максимальный размер выплаты ограничен тремя биткоинами при полном возмещении. Финансировать эту выплату вызвались неназванные спонсоры и партнеры проекта. В официальной публикации их описали как друзей и сторонников сервера. Обратиться с информацией предложили любому человеку, способному вернуть монеты. Этим человеком может быть даже сам атакующий или его представитель. При участии нескольких информаторов вознаграждение разделят между ними. Раздел учитывает масштаб ущерба и практическую значимость информации. Выплата происходит после фактического возврата средств на кошельки потерпевших.

Фонд BTCPay Server направит отдельные выплаты разработчикам за раскрытие уязвимости. Разработчик кошелька Sparrow Wallet Крейг Роу получит двадцать одну сотую биткоина. Аналогичная сумма поступит фонду волонтерской группы Bitcoin Red Team. Представители проекта объяснили скромные суммы своим некоммерческим статусом FOSS-проекта. Пострадавшим пользователям команда рекомендовала обратиться в местные правоохранительные органы. Также стоит сообщить о краже сервисам, принимающим украденные монеты. Помощь в расследовании предложили службы безопасности бирж и аналитики. Масштаб инцидента разработчики пока раскрыть отказались. Точная сумма потерь и число затронутых узлов остаются неизвестными. Полный технический разбор случившегося команда пообещала опубликовать позже. Атака затронула только связки с LND без повреждения ончейн-кошельков. В версии программы временно отключили публичный доступ к API LND. Внешние кошельки Zeus пока не подключаются через домен сервера. Доступ к API вернут только после тщательной проверки безопасности.

Сейчас команда сосредоточена на разработке патчей и усилении код-ревью. К проверке кода планируют привлечь внешних независимых аудиторов безопасности. Разработчики изучают отчеты Bitcoin Red Team и исследовательских групп. Изучаются также отчеты Project Loupe и Magic Grants. Привлекаются материалы независимых исследователей безопасности блокчейн-систем. Пользователям рекомендовали хранить основные средства в холодных кошельках. Изменение подхода в проекте связали с распространением технологий ИИ. Модели делают поиск уязвимостей быстрее и дешевле прежнего. Многие программные платформы становятся мишенью для современных атакующих. Специалисты считают, что та же реальность ждет всю индустрию. Искусственный интеллект смещает баланс сил в пользу атакующих. Модели становятся умнее и находят дыры в коде быстрее. Биткоин-проекты остаются заметной целью для подобных атак. Остальному программному обеспечению тоже не избежать похожей участи. В августе произошел взлом аппаратного кошелька Coldcard. Технический директор Ledger Шарль Гийме высказался об этой ситуации. Он заявил о необходимости пересмотра генераторов случайности в устройствах.

***

Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.