BTCPay предлагает награду до 3 BTC за возврат похищенных средств

10 августа платежный сервис BTCPay Server объявил о запуске программы вознаграждения за помощь в возврате активов, которые были похищены злоумышленниками через уязвимость в системе Lightning. Награда составит 10% от возвращенной суммы, но не превысит 3 BTC, что эквивалентно примерно 190 000 долларов, в случае полного возмещения. Спонсоры и партнеры проекта, описанные как "друзья и сторонники" BTCPay Server, согласились финансировать эту выплату.

Любой, кто обладает информацией, способной помочь в возврате средств, включая подозреваемого, может обратиться в проект. Если несколько человек внесут вклад в возврат, награда будет разделена среди них на основании согласия потерпевших, учитывая масштаб ущерба и долю возвращенных средств. Кроме того, BTCPay Server Foundation выделит по 0,21 BTC разработчику Sparrow Wallet Крейгу Роу и фонду волонтерской группы Bitcoin Red Team за "ответственное раскрытие уязвимости". Несмотря на скромные суммы вознаграждения, команда объяснила это некоммерческим статусом проекта как FOSS.

Пострадавшие пользователи были призваны обратиться в местные правоохранительные органы и сервисы, куда могли поступить украденные средства. Разработчики сообщили, что им уже предложили помощь службы безопасности бирж, блокчейн-аналитики и правоохранительные органы. Однако масштаб инцидента, включая сумму потерь и количество затронутых узлов, пока не раскрыт, и команда обещала опубликовать полный разбор случившегося позже.

По уточнению разработчиков, атака затронула только узлы с LND, в то время как ончейн-кошельки остались невредимыми. В версии 2.4.2 временно отключен публичный доступ к API LND на Docker-сборках, и внешние кошельки, такие как Zeus, пока не могут подключаться через домен BTCPay или onion-адрес. Доступ будет восстановлен после проверки безопасности.

Команда в настоящее время сосредоточена на патчах и усилении код-ревью с привлечением внешних аудиторов, а также изучает отчеты Bitcoin Red Team, Project Loupe, Magic Grants и независимых исследователей. Пользователям рекомендуется хранить средства в холодных кошельках. Изменение подхода в проекте связано с увеличением роли искусственного интеллекта, который ускоряет и удешевляет поиск уязвимостей, что делает многие платформы легкими мишенями. Специалисты предупреждают, что вся индустрия разработчиков ПО может столкнуться с аналогичными угрозами.

Искусственный интеллект смещает баланс сил: атакующие получают преимущество. Модели становятся умнее, и находить дыры в больших кодовых базах теперь дешевле и быстрее. Биткоин-проекты — самая лакомая цель, но и остальному софту не избежать той же участи

Напомним, что в августе, на фоне взлома Coldcard, технический директор Ledger Шарль Гийме также высказал необходимость пересмотра проверки генераторов случайности в устройствах для хранения биткоина.