BTCPay hạn chế quyền truy cập Lightning từ xa sau khi lỗ hổng nghiêm trọng bị khai thác

Theo BTCPay Server, hôm qua nền tảng này đã tạm thời hạn chế các kết nối từ xa công khai tới những nút Lightning Network chạy Lightning Network Daemon (LND), sau khi một kẻ tấn công khai thác lỗ hổng nghiêm trọng để đánh cắp thông tin xác thực và rút sạch tiền. Lỗ hổng này cho phép kẻ tấn công từ xa, không cần xác thực, lấy các tệp macaroon dùng để kiểm soát các nút LND, qua đó chuyển tiền khỏi những ví bị ảnh hưởng.

BTCPay cho biết phiên bản 2.4.2 cài đặt LND phiên bản 0.21.1 và tự động tạo lại các macaroon trên những bản cài đặt tiêu chuẩn. Các ví bên ngoài như Zeus không còn có thể kết nối thông qua tên miền BTCPay Server hoặc địa chỉ onion của Tor trên các bản triển khai Docker. Ít nhất hai nhà vận hành, trong đó có CEO của Foundation là Zach Herbert và ấn phẩm Bitcoin Citadel21, đã công khai báo cáo thiệt hại. Những nhà vận hành sử dụng proxy ngược độc lập hoặc cổng được chuyển tiếp phải tự thay mới thông tin xác thực của mình.