Piktnaudžiaujant „BTCPay Server“ spraga tuštinamos „Lightning“ piniginės, kol tęsiasi „Coldcard“ krizė

Bitkoino infrastruktūrą šią savaitę supurtė dviguba saugumo krizė, kai po „Coldcard“ techninės įrangos piniginių saugumo spragos patvirtinta pavogtų lėšų suma viršijo 111 mln. JAV dolerių, o atskiras kritinis „BTCPay Server“ pažeidžiamumas leido užpuolikams ištuštinti prekybininkų „Lightning“ mazgus.

„Coldcard“ nuostoliai auga

Bendrovė „Galaxy Research“ penktadienį pranešė, kad iš „Coldcard“ piniginių patvirtinta pavogus mažiausiai 111 mln. JAV dolerių vertės bitkoinų, o bendri nuostoliai, tęsiantis tyrimui, tikriausiai viršys 130 mln. JAV dolerių. Išanalizavus 250 nukentėjusiųjų pranešimų nustatyta, kad vidutinis individualus nuostolis siekia 1,022 BTC, o pavogti bitkoinai neliečiami gulėjo vidutiniškai 3,5 metų. Vienas nukentėjusysis prarado beveik 59 BTC.bitcoinmagazine

Saugumo spraga atsekta iki „Coldcard Mk3“ įrenginių programinės įrangos klaidos, atsiradusios 4.0.1 versijoje 2021 m. kovo mėnesį. Dėl jos slaptafrazių generavimui vietoje tikrojo aparatinės įrangos atsitiktinių skaičių generatoriaus buvo panaudotas silpnas programinis pseudoatsitiktinių skaičių generatorius. Gamintojas „Coinkite“ įtartų, kad užpuolikai panaudojo dirbtinį intelektą klaidos paieškai viešai prieinamame kode. Pirmoji banga liepos 30 d. ištuštino 594,5 BTC (apie 70 mln. JAV dolerių) vos per 41 minutę per keturis blokus iš eilės.cointribune+3

Dėl šio saugumo pažeidimo liepos 31 d. suaktyvėjo beveik vienas milijonas bitkoino adresų: tai 54 proc. daugiau už mėnesio vidurkį, savininkams skubant pervesti lėšas į kitas saugyklas.cointribune

„BTCPay Server“ pažeidžiamumas smogė „Lightning“ mazgams

Kitame incidente, apie kurį pranešta rugpjūčio 6 d. vakarą, užpuolikai pasinaudojo kritine „BTCPay Server“ klaida, kad pavogtų prisijungimo duomenis iš „Lightning“ mazgų, naudojančių LND programinę įrangą. Pažeidžiamumas leido neautentuotiems nuotoliniams užpuolikams gauti „macaroon“ failus, suteikiančius visišką LND mazgų kontrolę, ir tai jiems leido uždaryti mokėjimo kanalus bei pervesti lėšas.investing+2

Techninės įrangos piniginių gamintojas „Foundation“ patvirtino, kad jo „BTCPay Lightning“ mazgas buvo ištuštintas, nors tinklo karštoji piniginė nebuvo pasiekta. Apie prarastas lėšas pranešė ir bitkoinų leidinys „Citadel21“. „BTCPay“ paragino visus vartotojus nedelsiant atnaujinti sistemą iki 2.4.2 versijos arba išjungti serverius.x+3

„Tai ne pratybos,“ rašė „Bull Bitcoin“ generalinis direktorius Francis Pouliot. „Informuokite visus pažįstamus, naudojančius „BTCPay“, kad nedelsdami ją išjungtų“.forbes

DI paremtas atsakas į saugumo grėsmes ir poveikis rinkai

Savanorių grupė „Bitcoin Red Team“ atlieka DI padedamą saugumo auditą visoje bitkoino ekosistemoje: per 55 valandas ji nuskenavo 425 projektus ir užfiksavo 6 700 radinių, iš kurių 1 029 įvertinti kaip didelės arba kritinės svarbos. Pranešama, kad šios pastangos kainavo nuo 10 000 iki 20 000 JAV dolerių, naudojant tokius modelius kaip „Kimi K3“ ir „OpenAI Cyber Harness“. Tačiau kol kas neaišku, kiek iš šių radinių yra patvirtinti pažeidžiamumai, nes klaidingai teigiamų rezultatų dažnis ir ištaisymo rezultatai nebuvo paskelbti.cryptorank

Bendrovės „Blockaid“ generalinis direktorius Ido Ben-Natanas leidiniui „The Block“ teigė, kad „Coldcard“ incidentas atskleidžia kriptovaliutų „pradinę nuodėmę“: priklausomybę nuo privačių raktų kaip vienintelio pažeidžiamo taško. „Labai greitai kiekvienas pasaulio žmogus savo rankose turės vieną geriausių pasaulio įsilaužėlių,“ įspėjo jis, apibūdindamas kriptovaliutas kaip kasyklos kanarėlę DI kibernetinio saugumo grėsmių kontekste.theblock

Neramumų fone bitkoino kaina išliko atspari ir svyravo ties 65 000 JAV dolerių riba, investuotojams toliau perkant per biržoje prekiaujamus fondus.investing+1