Finst

Falha no BTCPay afeta nós Lightning e compromete pagamentos em Bitcoin

Os atacantes conseguiram assumir o controlo de nós LND através de credenciais .macaroon; entre outros, Foundation e Citadel21 comunicaram perdas. O BTCPay aconselha a atualização imediata para a versão 2.4.2.

Por Zenz van der Wielen
• Leitura de 2 min
Falha no BTCPay afeta nós Lightning e compromete pagamentos em Bitcoin

Pontos principais

  • Uma vulnerabilidade crítica no BTCPay Server permitiu a atacantes esvaziar nós Lightning com LND através de credenciais .macaroon obtidas indevidamente.
  • O BTCPay pediu aos utilizadores com LND que atualizem de imediato para a versão 2.4.2 ou que coloquem o servidor offline; os fundos roubados foram confirmados.
  • Entre os afetados estão Foundation e Citadel21, enquanto o BTCPay afirma que as carteiras on-chain padrão não foram afetadas.

Uma falha crítica no BTCPay Server voltou a expor, esta semana, a fragilidade da infraestrutura de pagamentos em Bitcoin. Depois de obterem credenciais de acesso ao LND, o software mais usado para operar nós Lightning, os atacantes conseguiram esvaziar vários nós ligados ao BTCPay.

Na noite de sexta-feira, o BTCPay avisou que os utilizadores com LND devem atualizar de imediato para a versão 2.4.2 ou, em alternativa, colocar o servidor offline. O projeto confirmou que houve fundos roubados, mas não indicou quantos utilizadores foram afetados nem o montante de Bitcoin subtraído.

Como o ataque funcionou

De acordo com o BTCPay, um atacante não autenticado conseguiu aceder remotamente aos chamados ficheiros .macaroon. Estas credenciais dão autorização ao software para comunicar com um nó LND. Nos casos analisados pelo projeto, foram precisamente estes ficheiros que ficaram expostos, permitindo depois aos atacantes assumir o controlo do nó e movimentar fundos.

Entre as entidades afetadas está a fabricante de carteiras de hardware Foundation. O diretor executivo, Zach Herbert, afirmou que os atacantes esvaziaram durante a noite o nó Lightning BTCPay da empresa, encerraram os canais e desviaram os fundos. Segundo o mesmo responsável, a hot wallet on-chain do próprio BTCPay não foi afetada.

A Citadel21, o meio de comunicação sobre bitcoin do comentador pseudónimo hodlonaut, também comunicou que o seu nó Lightning tinha sido esvaziado. Nesse caso, o valor em causa terá sido reduzido.

Porque isto é mais abrangente

O BTCPay Server é um processador de pagamentos Bitcoin open-source e auto-hospedado, que permite aos comerciantes aceitar Bitcoin diretamente, tanto on-chain como via Lightning. Precisamente porque muitos utilizadores gerem as suas próprias carteiras e nós, uma falha no software pode ter impacto direto nos fundos operacionais e nos fluxos de pagamento.

Este tipo de incidente torna-se ainda mais sensível num momento em que outras soluções de armazenamento auto-hospedadas também estão sob pressão. Num ataque recente a carteiras de hardware, ficou evidente a rapidez com que uma falha na gestão de chaves pode traduzir-se em perdas reais, como aconteceu com uma exploração ativa de carteira Bitcoin.

O timing do caso acrescenta-lhe ainda mais peso. A vulnerabilidade já tinha sido comunicada por membros do Bitcoin Red Team, um grupo de programadores que utiliza modelos de IA para detetar bugs em bases de código Bitcoin e que, na semana passada, apresentou milhares de relatórios sobre centenas de projetos. O BTCPay elogiou Craig Raw, Rob Hamilton, Calle e Evan Kaloudis pela forma responsável como comunicaram o problema e pela ajuda prestada na análise.

O que os operadores precisam de saber agora

Mais tarde, o BTCPay afirmou que as suas carteiras on-chain padrão, incluindo as hot wallets criadas dentro do BTCPay, não foram afetadas por esta falha de credenciais. A exposição aplica-se especificamente a instalações que utilizam LND, embora os fundos na carteira on-chain do próprio LND possam continuar em risco, porque estão abrangidos pelo nó Lightning comprometido.

A empresa de criptomoedas ainda não publicou detalhes técnicos da vulnerabilidade, porque os operadores precisam de tempo para aplicar a correção. Um relatório pós-incidente completo será divulgado nos próximos dias. Para os utilizadores e comerciantes europeus de criptomoedas, o caso é particularmente relevante porque mostra que o risco não se limita aos contratos inteligentes ou às bolsas, estendendo-se também à camada de software que suporta os pagamentos em Bitcoin e a gestão de nós.

Aviso: Este conteúdo é destinado apenas para fins informativos e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. As informações fornecidas podem estar incompletas, imprecisas ou desatualizadas e não devem ser utilizadas como aconselhamento. Nenhuma informação neste website deve ser considerada uma recomendação para comprar, vender ou manter qualquer criptomoeda. Investir em criptoativos envolve risco de perdas.