Finst

La falla di BTCPay colpisce i nodi Lightning e mette a rischio i pagamenti in Bitcoin

Gli attaccanti sono riusciti a prendere il controllo di nodi LND tramite credenziali .macaroon; tra i colpiti ci sono anche Foundation e Citadel21. BTCPay consiglia di aggiornare subito alla 2.4.2.

Di Zenz van der Wielen
• 2 min di lettura
La falla di BTCPay colpisce i nodi Lightning e mette a rischio i pagamenti in Bitcoin

In breve

  • Una vulnerabilità critica in BTCPay Server ha permesso agli attaccanti di svuotare nodi Lightning basati su LND usando credenziali .macaroon sottratte.
  • BTCPay ha chiesto a chi usa LND di passare subito alla versione 2.4.2 oppure di spegnere il server; i fondi rubati sono stati confermati.
  • Tra i soggetti colpiti ci sono Foundation e Citadel21, mentre BTCPay ha chiarito che i wallet on-chain standard non risultano coinvolti.

Una falla critica in BTCPay Server ha riportato l’attenzione, ancora una volta, su quanto sia fragile l'infrastruttura dei pagamenti in Bitcoin. Gli attaccanti sono riusciti a svuotare i nodi Lightning collegati a BTCPay dopo aver messo le mani su credenziali che consentono l’accesso a LND, il software più diffuso per gestire un nodo Lightning.

Venerdì sera BTCPay ha avvisato che chi utilizza LND deve aggiornare immediatamente alla versione 2.4.2 oppure mettere offline il server. Il progetto ha anche confermato che ci sono stati fondi sottratti, senza però indicare quanti utenti siano stati coinvolti né l’ammontare dei Bitcoin rubati.

Come ha funzionato l'attacco

Stando a BTCPay, un attaccante non autenticato è riuscito a recuperare da remoto i file .macaroon. Si tratta delle credenziali che permettono al software di parlare con un nodo LND. Nei casi esaminati dal progetto, proprio quei file sono stati il punto d’ingresso: una volta ottenuti, gli attaccanti hanno potuto prendere il controllo del nodo e spostare i fondi.

Tra i casi segnalati c’era Foundation, il produttore di hardware wallet. L’amministratore delegato Zach Herbert ha spiegato che durante la notte gli attaccanti hanno svuotato il nodo Lightning BTCPay dell’azienda, chiudendo i canali e portando via i fondi. Secondo lui, il wallet hot on-chain di BTCPay non è stato toccato.

Anche Citadel21, il media Bitcoin del commentatore pseudonimo hodlonaut, ha riferito che il proprio nodo Lightning è stato svuotato. In quel caso, però, la somma coinvolta sarebbe stata limitata.

Perché la cosa conta più in generale

BTCPay Server è un payment processor Bitcoin open-source e self-hosted che consente ai merchant di accettare Bitcoin direttamente, sia on-chain sia tramite Lightning. Proprio perché molti utenti gestiscono in autonomia i propri wallet e i propri nodi, un bug nel software può avere conseguenze immediate sui fondi operativi e sui pagamenti.

È anche per questo che incidenti di questo tipo pesano ancora di più in una fase in cui altre soluzioni di custodia self-hosted sono già sotto pressione. Dopo un recente attacco ai wallet hardware, è emerso quanto rapidamente un errore nella gestione delle chiavi possa trasformarsi in perdite concrete, come nel caso di un exploit attivo di un wallet Bitcoin.

A rendere la vicenda ancora più delicata c’è anche il tempismo. La vulnerabilità era già stata individuata da membri del Bitcoin Red Team, un gruppo di sviluppatori che usa modelli AI per cercare bug nei codebase Bitcoin e che nell’ultima settimana ha inviato migliaia di segnalazioni su centinaia di progetti. BTCPay ha ringraziato Craig Raw, Rob Hamilton, Calle ed Evan Kaloudis per aver segnalato il problema in modo responsabile e per aver collaborato all’analisi.

Cosa devono sapere ora gli operatori

BTCPay ha poi precisato che i suoi wallet on-chain standard, compresi gli hot wallet creati all’interno di BTCPay, non sono stati colpiti da questo problema legato alle credenziali. Il rischio riguarda in modo specifico le installazioni che usano LND, anche se i fondi nel wallet on-chain di LND possono comunque restare esposti perché fanno capo al nodo Lightning compromesso.

L’azienda non ha ancora diffuso i dettagli tecnici della vulnerabilità, spiegando che agli operatori serve tempo per applicare la patch. Nei prossimi giorni pubblicherà un postmortem completo. Per gli utenti crypto europei e per i merchant, il caso è soprattutto un promemoria: non sono a rischio solo gli smart contract o gli exchange, ma anche il software che sta dietro ai pagamenti in Bitcoin e alla gestione dei nodi.

Avvertenza: Questo contenuto ha esclusivamente scopo informativo e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Le informazioni fornite possono essere incomplete, inesatte o non aggiornate e non devono essere considerate come riferimento decisionale. Nulla su questo sito web deve essere considerato una raccomandazione ad acquistare, vendere o detenere criptovalute. Investire in cripto-asset comporta rischio di perdita.