BTCPay يوصي بإيقاف الخوادم وسط بلاغات عن تحويل أموال من محافظ ساخنة
الحقائق الرئيسية
أوصى مشروع BTCPay Server مشغلي خوادمه بإيقافها خلال التحقيق في تقارير عن تحويل أموال من محافظ بيتكوين ساخنة، وفقاً لتنبيه نقلته ذا ديفاينت. ويأتي التوجيه وسط بلاغات عن وصول مهاجمين غير مصرح لهم إلى أموال في تلك المحافظ، من دون إعلان المشروع حتى الآن آلية الاختراق أو سببه. ودعا التنبيه المشغلين إلى تنفيذ الأمر «./btcpay-down.sh» لإيقاف الخوادم. ولم يحصر التوصية بإصدار معين من البرنامج، كما لم يعلن عن تصحيح للحادثة. ويترك ذلك مشغلي الخوادم أمام إجراء احترازي عام إلى أن يستكمل المشروع تحقيقه.
لم يحدد التنبيه الإصدارات التي قد تكون متأثرة، ولذلك لا يثبت إصدار 2.4.7 أنه محصن من الهجمات الحالية. وكان الإصدار قد عالج 85 نتيجة أمنية ظهرت في فحص، توزعت وفق تصنيف التقرير الأصلي على نتيجة حرجة واحدة و13 عالية و52 متوسطة و19 منخفضة. وتُظهر هذه المعالجة نطاق ما تناوله الإصدار، لكنها لا تحدد صلته بالبلاغات الراهنة. كما أن سجل الإصدارات لا يقدم بحد ذاته تأكيداً على سلامة نسخة بعينها من الحادثة الحالية. ويبقى توجيه المشروع بإيقاف الخوادم هو الإجراء المعلن في أثناء التحقيق.
ويختلف التنبيه الحالي عن ثغرة سابقة في BTCPay Server عالجها الإصدار 2.4.2 في 7 أغسطس 2026. فقد أتاحت تلك الثغرة لمهاجم عن بُعد ومن دون مصادقة الحصول على ملفات بيانات اعتماد عقدة شبكة البرق «LND»، بحسب المدونة الرسمية للمشروع. وقالت BTCPay إن تلك البيانات كان يمكن أن تتيح السيطرة على العقدة وتحريك الأموال. وأكد المشروع أن الثغرة استُغلت وأن مستخدمين تضرروا وسُرقت أموال منهم. لكن مراجعة الحادثة السابقة ربطت الخطر بعقد «LND»، ولم تنسب إلى تلك الثغرة تأثر محافظ BTCPay على السلسلة.
وفي توضيحها للحادثة السابقة، قالت BTCPay إن المهاجمين استهدفوا ملفات تنتهي بالامتداد «.macaroon»، وإن محافظها على السلسلة، بما فيها المحافظ الساخنة، لم تتأثر بتلك الثغرة. وأضافت أن الأموال الموجودة في محفظة «LND» على السلسلة ربما ظلت معرضة للخطر، لأن الخطر شمل عقدة «LND» المتأثرة. وعلى هذا الأساس، أوصى المشروع آنذاك مستخدمي «LND» الذين يشغلون إصدارات أقدم من 2.4.2 بالتحديث فوراً أو إبقاء الخادم غير متصل حتى يتمكنوا من التحديث. أما البلاغات الحالية فتتعلق بتحويل أموال من محافظ ساخنة، ولم يعلن المشروع أنها ناتجة عن الثغرة السابقة. ولم يحدد التنبيه الحالي سبباً أو آلية تربط الحادثتين.
وفي إفادته عن حادثة أغسطس، قال المشروع إن المهاجمين استخرجوا بيانات اعتماد إدارية لعقد «LND» من الخوادم المتأثرة واستخدموها للوصول إلى محافظ العقد المتصلة. وأوضح أن تحديث BTCPay Server إلى 2.4.2 يحدّث «LND» أيضاً ويعيد إنشاء بيانات الاعتماد الإدارية. وكانت هذه الخطوات جزءاً من استجابة محددة لثغرة بيانات الاعتماد، ولا يقدم تنبيه الحادثة الحالية إرشادات مماثلة أو تصحيحاً جديداً. كما أعلن المشروع في 10 أغسطس أنه سيعزز فحص الشيفرة ومراجعتها بالتعاون مع جهات خارجية. وقال إنه سيعطي الأولوية للتحديثات الأمنية والتحصين على الميزات الجديدة في المستقبل المنظور.
وبحسب المستودع الرسمي للمشروع، فإن BTCPay Server برنامج مجاني ومفتوح المصدر لمعالجة مدفوعات البيتكوين، ويشغله المستخدمون على خوادم ذاتية الاستضافة. ويتيح البرنامج للتجار قبول البيتكوين مباشرة من دون رسوم أو وسطاء، فيما يدير كل مشغل خادمه بنفسه. ويعني هذا النموذج أن توجيه الإيقاف يصل إلى مشغلي البنية التي يديرونها مباشرة، بدلاً من أن يقتصر على مستخدمي خدمة مركزية واحدة. وفي استجابة أغسطس، قال المشروع إن داعمين تعهدوا بتمويل مكافأة لاسترداد الأموال المسروقة، تعادل 10% من المبلغ المسترد وبحد أقصى 3 BTC عند استرداد كامل الأموال. ولم يعلن التنبيه الحالي إجراءً مماثلاً أو موعداً لانتهاء التحقيق.