BTCPay Server هشداری جدی صادر کرد: هکرها کیف پول‌های گرم را خالی می‌کنند، فوراً نرم‌افزار خود را به‌روزرسانی کنید
تهران، ایران – نرم‌افزار پرداخت خودگردان بیت‌کوین، BTCPay Server، روز دوشنبه از کشف یک روش حمله جدید خبر داد که منجر به خالی شدن کیف پول‌های گرم برخی از اپراتورها شده است. این پروژه به شدت از کاربران خود خواسته است تا فوراً گره‌های (nodes)ی را که از نسخه‌های قدیمی نرم‌افزار استفاده می‌کنند، خاموش کنند.
جزئیات حمله و نسخه‌های آسیب‌پذیر
بر اساس تحقیقات اولیه، نسخه‌های ۲.۴.۱ و قدیمی‌تر که در ماه جولای منتشر شده‌اند، به عنوان نقطه ضعف اصلی مورد شناسایی قرار گرفته‌اند. BTCPay Server تأکید کرده است که آخرین نسخه منتشر شده، یعنی ۲.۴.۷، تاکنون هیچ گزارش معتبری از سرقت وجوه دریافت نکرده است.
این نرم‌افزار متن‌باز که به تجار امکان می‌دهد گره‌های خود را راه‌اندازی کرده و مستقیماً بیت‌کوین دریافت کنند، در تاریخ ۲ نوامبر از طریق حساب‌های رسمی خود اعلام کرد که مشکل اصلی در نمونه‌هایی است که همچنان از نسخه ۲.۴.۱ یا نسخه‌های قدیمی‌تر استفاده می‌کنند؛ نسخه‌هایی که از ۲۳ جولای امسال منتشر شده بودند.
فراخوان فوری برای به‌روزرسانی
BTCPay Server اعلام کرده است که نسخه ۲.۴.۷ تاکنون هیچ گزارش معتبری از سرقت کیف پول گرم دریافت نکرده است. بنابراین، از تمام اپراتورهای گره خواسته شده است تا در اسرع وقت نسخه نصب شده خود را به‌روزرسانی کنند. به عبارت دیگر، نقطه ضعف این موج از حوادث، نه در خود کد برنامه، بلکه در عادت عملیاتی “اجرای نسخه‌های قدیمی و عدم به‌روزرسانی” نهفته است.
سابقه هشدارها و عدم شفافیت
این اولین بار نیست که این پروژه هشدار می‌دهد. پیش از تأیید مسیر حمله، BTCPay Server در اطلاعیه‌ای دیگر از اپراتورها خواسته بود تا نمونه‌های سرور خود را موقتاً خاموش کنند و دستورالعمل‌های کامل خاموش کردن را ارائه داده بود تا پس از روشن شدن تحقیقات، دوباره راه‌اندازی شوند. تا این لحظه، BTCPay هنوز تعداد اپراتورهای تحت تأثیر، میزان دقیق وجوه سرقت شده و نحوه دسترسی مهاجمان به مجوزهای کیف پول را به طور عمومی اعلام نکرده است. از کاربران آسیب‌دیده خواسته شده است تا اطلاعات مربوطه و گزارش‌های سرور را به تیم امنیتی رسمی ارائه دهند.
در پاسخ به پیگیری‌های رسانه‌ها، این سازمان تا زمان انتشار این خبر، توضیحات بیشتری ارائه نکرده است. این بدان معناست که مقیاس خسارات این حادثه همچنان نامشخص است و جزئیات فنی مورد نیاز تجار آسیب‌دیده نیز در دسترس نیست.
موج دوم سرقت‌ها در سال جاری
با بازگشت به گذشته، این دومین بار در سال جاری است که BTCPay Server درگیر موج سرقت می‌شود. در ماه آگوست، این پروژه به دلیل یک حمله آسیب‌پذیری، دسترسی از راه دور به شبکه لایتنینگ (Lightning) را محدود کرد. در آن زمان، مهاجمان با دسترسی به اعتبارنامه‌های برنامه常驻 گره شبکه لایتنینگ (LND)، وجوه را مستقیماً منتقل کردند. این دو حادثه با فاصله کمتر از سه ماه رخ داده‌اند و این پروژه تنها اعلام کرده است که هنوز مشخص نیست آیا مسیر حمله جدید با آسیب‌پذیری ماه آگوست مرتبط است یا خیر.
تأثیر هوش مصنوعی بر امنیت
شایان ذکر است که پس از حادثه ماه آگوست، چندین حادثه امنیتی در اکوسیستم بیت‌کوین رخ داد: از آسیب‌پذیری کیف پول Coldcard گرفته تا بمباران گزارش‌های آسیب‌پذیری تولید شده توسط هوش مصنوعی علیه Core Lightning متعلق به Blockstream. همه این موارد به یک نکته اشاره دارند: با کاهش چشمگیر هزینه “یافتن آسیب‌پذیری” توسط هوش مصنوعی، سرعت اصلاح نرم‌افزارهای خودگردان متن‌باز و انضباط به‌روزرسانی اپراتورها به شکننده‌ترین حلقه تبدیل شده است.
نقطه قوت اصلی BTCPay Server، یعنی “عدم اتکا به شخص ثالث” و نگهداری کلیدهای خصوصی توسط خود تجار، به طور نظری ریسک نگهداری را به حداقل می‌رساند. اما این حادثه دوباره نشان می‌دهد که خودگردانی صرفاً ریسک را از صرافی‌ها به خود فرد منتقل می‌کند: تا زمانی که نسخه نرم‌افزار قدیمی باشد، مهاجمان می‌توانند از مسیرهای حمله شناخته شده به راحتی نفوذ کنند و پس از خالی شدن کیف پول گرم، بازگرداندن وجوه تقریباً غیرممکن است.
توصیه‌های امنیتی برای کاربران
برای تجار و اپراتورهای گره، درس‌های مشخصی از این حادثه وجود دارد: ابتدا، اطمینان حاصل کنید که نسخه نرم‌افزار شما ۲.۴.۱ یا قدیمی‌تر نیست و آن را به ۲.۴.۷ به‌روزرسانی کنید. در حالت عادی، موجودی کیف پول گرم خود را در حداقل نگه دارید و بیشتر وجوه را به کیف پول‌های سرد یا چند امضایی منتقل کنید. در آینده، دو نکته قابل توجه است: اول، زمان اعلام مقیاس تأثیر و جزئیات فنی حمله توسط این پروژه؛ و دوم، اینکه آیا این مسیر حمله مانند آسیب‌پذیری ماه آگوست، به سایر ابزارهای پرداخت بیت‌کوین که از کتابخانه‌های مشابه استفاده می‌کنند، گسترش خواهد یافت یا خیر.
