Κενό ασφαλείας στο BTCPay Server αδειάζει πορτοφόλια Lightning εν μέσω κρίσης στην Coldcard

Οι υποδομές του Bitcoin κλονίζονται από δίδυμες κρίσεις ασφαλείας αυτή την εβδομάδα, καθώς οι επιβεβαιωμένες απώλειες από την ευπάθεια του πορτοφολιού υλικού Coldcard ξεπέρασαν τα 111 εκατομμύρια δολάρια και ένα ξεχωριστό κρίσιμο κενό ασφαλείας στο BTCPay Server επέτρεψε σε επιτιθέμενους να αδειάσουν κόμβους Lightning εμπόρων.

Οι απώλειες της Coldcard αυξάνονται

Η Galaxy Research δήλωσε την Παρασκευή ότι τουλάχιστον 111 εκατομμύρια δολάρια σε Bitcoin έχουν επιβεβαιωθεί ως κλαπέντα από πορτοφόλια Coldcard, με τις συνολικές απώλειες να υπερβαίνουν πιθανώς τα 130 εκατομμύρια δολάρια καθώς η έρευνα συνεχίζεται. Η ανάλυση 250 αναφορών θυμάτων έδειξε διάμεση ατομική απώλεια 1,022 BTC, με τα κλαπέντα νομίσματα να παραμένουν ανέγγιχτα για διάμεσο διάστημα 3,5 ετών. Ένα θύμα έχασε σχεδόν 59 BTC.bitcoinmagazine

Η παραβίαση οφείλεται σε σφάλμα λογισμικού (firmware) σε συσκευές Coldcard Mk3, το οποίο εισήχθη με την έκδοση 4.0.1 τον Μάρτιο του 2021, προκαλώντας την παραγωγή της αρχικής φράσης (seed) να βασίζεται σε μια αδύναμη λογισμική γεννήτρια ψευδοτυχαίων αριθμών αντί για την πραγματική γεννήτρια τυχαίων αριθμών του υλικού. Η κατασκευάστρια Coinkite υποπτεύεται ότι οι επιτιθέμενοι χρησιμοποίησαν τεχνητή νοημοσύνη για να ανακαλύψουν το ελάττωμα στον δημοσίως διαθέσιμο κώδικα. Το πρώτο κύμα στις 30 Ιουλίου απέσπασε 594,5 BTC, δηλαδή περίπου 70 εκατομμύρια δολάρια, σε μόλις 41 λεπτά σε τέσσερα συνεχόμενα μπλοκ.cointribune+3

Η παραβίαση έθεσε σε κίνηση σχεδόν ένα εκατομμύριο διευθύνσεις Bitcoin στις 31 Ιουλίου, σημειώνοντας αύξηση 54% πάνω από τον μηνιαίο μέσο όρο, καθώς οι κάτοχοι έσπευσαν να μεταφέρουν κεφάλαια σε εναλλακτικές μεθόδους αποθήκευσης.cointribune

Η ευπάθεια του BTCPay Server πλήττει κόμβους Lightning

Σε ένα ξεχωριστό περιστατικό που αποκαλύφθηκε αργά στις 6 Αυγούστου, επιτιθέμενοι εκμεταλλεύτηκαν κρίσιμο ελάττωμα στο BTCPay Server για να υποκλέψουν διαπιστευτήρια από κόμβους Lightning που εκτελούν λογισμικό LND. Η ευπάθεια επέτρεψε σε απομακρυσμένους επιτιθέμενους χωρίς αυθεντικοποίηση να αποκτήσουν αρχεία "macaroon", δηλαδή διαπιστευτήρια που παρέχουν πλήρη έλεγχο στους κόμβους LND, επιτρέποντάς τους να κλείνουν κανάλια πληρωμών και να μεταφέρουν κεφάλαια.investing+2

Η κατασκευάστρια πορτοφολιών υλικού Foundation επιβεβαίωσε ότι ο κόμβος BTCPay Lightning που διαθέτει αδειάστηκε, αν και το θερμό πορτοφόλι (hot wallet) της στην αλυσίδα δεν παραβιάστηκε. Η έκδοση Bitcoin Citadel21 ανέφερε επίσης απώλεια κεφαλαίων. Το BTCPay προέτρεψε όλους τους χρήστες να ενημερώσουν αμέσως στην έκδοση 2.4.2 ή να θέσουν τους διακομιστές τους εκτός σύνδεσης.x+3

«Δεν πρόκειται για άσκηση», έγραψε ο Francis Pouliot, διευθύνων σύμβουλος της Bull Bitcoin. «Ενημερώστε όποιον γνωρίζετε ότι χρησιμοποιεί το BTCPay να το απενεργοποιήσει αμέσως».forbes

Αντίδραση ασφαλείας μέσω AI και επιπτώσεις στην αγορά

Μια εθελοντική ομάδα με την ονομασία Bitcoin Red Team διεξάγει έλεγχο ασφαλείας με τη βοήθεια τεχνητής νοημοσύνης στο οικοσύστημα του Bitcoin, σαρώνοντας 425 έργα σε 55 ώρες και καταγράφοντας 6.700 ευρήματα, εκ των οποίων 1.029 αξιολογήθηκαν ως υψηλής ή κρίσιμης σημασίας. Η προσπάθεια κόστισε σύμφωνα με πληροφορίες μεταξύ 10.000 και 20.000 δολαρίων, χρησιμοποιώντας μοντέλα όπως τα Kimi K3 και OpenAI Cyber Harness. Ωστόσο, παραμένει ασαφές πόσα από αυτά τα ευρήματα αντιπροσωπεύουν επιβεβαιωμένες ευπάθειες, καθώς τα ποσοστά ψευδώς θετικών αποτελεσμάτων και τα αποτελέσματα των διορθώσεων δεν έχουν δημοσιοποιηθεί.cryptorank

Ο διευθύνων σύμβουλος της Blockaid, Ido Ben-Natan, δήλωσε στο The Block ότι η παραβίαση της Coldcard αποκαλύπτει το «προπατορικό αμάρτημα» των κρυπτονομισμάτων, δηλαδή την εξάρτηση από τα ιδιωτικά κλειδιά ως μοναδικό σημείο αποτυχίας. «Πολύ σύντομα όλοι στον κόσμο θα έχουν στα χέρια τους έναν από τους καλύτερους χάκερ του κόσμου», προειδοποίησε, περιγράφοντας τα κρυπτονομίσματα ως το καναρίνι στο ορυχείο για τις απειλές κυβερνοασφάλειας που καθοδηγούνται από την τεχνητή νοημοσύνη.theblock

Παρά την αναταραχή, η τιμή του Bitcoin παρέμεινε ανθεκτική, διαπραγματευόμενη κοντά στα 65.000 δολάρια καθώς οι επενδυτές συνέχισαν τις αγορές μέσω διαπραγματεύσιμων αμοιβαίων κεφαλαίων (ETF).investing+1