BTCPay Server'ın eski sürümlerini çalıştıran sunuculardaki sıcak cüzdanlar boşaltıldı

Açık kaynak ve kendi sunucusunda çalıştırılan kripto para ödeme yazılımı BTCPay Server, 1 Kasım’da BTCPay Server sunucularındaki sıcak cüzdanlardan (hot wallet) Bitcoin ve Litecoin çalındığına dair bildirimler aldığını açıkladı. Sıcak cüzdan, harcama için gereken anahtarların sunucunun kendisinde tutulduğu cüzdan.

Projenin 2 Kasım’da yayımladığı olay duyurusuna göre saldırılar, 23 Temmuz’da yayımlanan 2.4.1 ve önceki sürümleri çalıştıran sunucuları hedef aldı. Saldırganlar, 7 Ağustos’ta 2.4.2 sürümüyle kapatılan açığı farklı bir yöntemle istismar etti. Proje, Ağustos’taki duyurudan sonra başka güvenlik güncellemeleri de yayımladığını belirtti ve eski sürümleri kullananlara güncellemenin önemini daha iyi duyurabilmiş olmayı dilediğini söyledi.

Olayın seyri

Projenin UTC saatiyle verdiği zaman çizelgesine göre:

• 7 Ağustos’ta açığı kapatan 2.4.2 sürümü yayımlandı. Ağustos ile Ekim arasında 2.4.4 ve 2.4.5 gibi başka güvenlik güncellemeleri geldi.
• 1 Kasım 13.46’da bildirimlerde anlatılan cüzdan boşaltma işlemlerinden biri gerçekleşti. Proje, saldırganların açığı ilk ne zaman istismar etmeye başladığını henüz belirleyemedi.
• 1 Kasım 20.56’da ilk hırsızlık bildirimi e-postayla geldi. Proje aynı gün LunaNode dahil sanal sunucu sağlayıcılarından önlem olarak BTCPay Server sunucularını kapatmalarını istedi.
• 1 Kasım 22.25’te proje X’te topluluğu uyardı ve sunucuların inceleme bitene kadar kapatılmasını istedi.
• 2 Kasım’da proje etkilenen sürümlerin 2.4.1 ve öncesi olduğunu açıkladı.

Ağustos’taki duyuruya göre 2.4.2 ile kapatılan açık, kimliği doğrulanmamış uzaktaki bir saldırganın Lightning Network yazılımı LND’nin .macaroon kimlik bilgisi dosyalarını almasına izin veriyordu. Proje o dönemde açığın istismar edildiğini ve fon çalındığını doğrulamıştı. Projeye göre şimdiki saldırılarda saldırganlar aynı açığı farklı bir yöntemle kullandı. Proje yeni yöntemin teknik ayrıntılarını paylaşmadı.

Çalınan fonlar

Proje, bildirimlerde geçen bir Bitcoin ve bir Litecoin adresini paylaştı. Projeye göre bu adreslerdeki bazı işlemler bildirilen hırsızlıklardan önceye uzanıyor ve hangi işlemlerin bu olayla ilgili olduğu henüz belli değil. Bu yüzden adreslerdeki bakiyeler toplam kaybın doğrulanmış miktarı olarak görülmemeli. Proje etkilenen kullanıcı sayısını ve çalınan toplam tutarı açıklamadı.

BleepingComputer’a göre BTCPay Server’ın kurucusu Nicolas Dorier saldırıların herkese açık sunucuları hedef almadığını söyledi.

Önerilen önlemler

BTCPay Server’a göre:

• Sürüm, yönetim panelinde sayfanın altında görünüyor.
• 1 Kasım’daki uyarı sırasında 2.4.2 ya da sonraki bir sürümü çalıştıran sunucularda bu saldırıların bir etkisi görülmedi.
• 2.4.1 ya da önceki bir sürümü çalıştıranlar, hırsızlık fark etmemiş olsalar ve uyarıdan sonra güncellemiş olsalar bile, sıcak cüzdandaki kalan fonları yeni bir cüzdana aktarıp yeni bir sunucuya geçmeli. Proje, yalnızca güncellemenin saldırganın daha önce elde etmiş olabileceği erişimi kaldırmadığını vurguluyor.
• Yeni cüzdan güvenilir bir cihazda ve yeni bir kurtarma ifadesiyle (seed) oluşturulmalı. Eski kurtarma ifadesini yeni sunucuda kullanmak fonları risk altında bırakıyor.
• Eski sunucu, kayıtları ve işlem bilgileri saklandıktan sonra kapatılmalı. Yeni sunucu güncel sürümle sıfırdan kurulmalı, eski sunucunun tamamı yeni makineye geri yüklenmemeli.
• Eski sunucunun erişebildiği barındırma, SSH, uygulama, API ve Lightning kimlik bilgileri güvenilir bir cihazdan iptal edilip yenilenmeli.
• Fonları çalınanlar ya da yetkisiz erişim izi görenler bütün makineyi ve içindeki gizli bilgileri ele geçirilmiş saymalı.

Proje, fon kaybedenlerin olayı security@btcpayserver.org adresine ve yerel yetkililere bildirmesini istiyor. Projeye göre sunucuda yalnızca günlük işler için gereken miktar tutulmalı, geri kalanı özel anahtarları sunucu dışında tutulan bir cüzdana aktarılmalı. Proje ayrıca yapay zekâ kullanılan otomatik saldırıların arttığını belirterek kullanıcılardan güncellemeleri yayımlandıkları anda kurmalarını istiyor.