BTCPay Server dočasně omezil veřejný vzdálený přístup k uzlům Lightning Network, které běží na softwaru Lightning Network Daemon, zkráceně LND. Reaguje tak na zranitelnost, přes kterou mohl neověřený vzdálený útočník získat přihlašovací soubory a přesunout prostředky z uzlu.
Projekt zároveň vydal verzi 2.4.2. Ta na standardních instalacích BTCPay instaluje LND ve verzi 0.21.1 a automaticky obnovuje takzvané macaroon údaje. Ty slouží k ovládání LND, a pokud se dostanou k útočníkovi, mohou mu umožnit převzít kontrolu nad Lightning uzlem.
Co BTCPay změnil a koho se omezení týká
Omezení se týká nasazení BTCPay v Dockeru. Blokuje připojení externích peněženek přes doménu BTCPay Serveru nebo přes Tor onion adresu. Jako příklad takové peněženky BTCPay jmenuje Zeus.
Lightning platby mají podle BTCPay fungovat dál. Změna míří hlavně na veřejně dostupné vzdálené přístupy, které mohly být po zneužití zranitelnosti rizikové. Projekt počítá s tím, že tuto možnost znovu zapne, až ji bude považovat za bezpečnou.
Incident se týká softwaru kolem bitcoinu a Lightning Network, ne samotného bitcoinového protokolu. Provozovatelé uzlů ale musí řešit přístupová oprávnění, protože právě ta byla v útoku klíčová.
Aktualizace obnovuje macaroon údaje, ale neřeší všechny přístupy
Verze 2.4.2 automaticky vymění macaroon údaje u standardních instalací BTCPay. Provozovatelé by přesto neměli spoléhat jen na samotnou aktualizaci. BTCPay doporučil kontrolu plateb, kanálů i zůstatků.
Správci mají hledat hlavně neautorizované platby, nečekané uzavření Lightning kanálů, neznámé peery a rozdíly mezi vlastními záznamy a zůstatky onchain nebo v Lightning síti. Tyto kontroly mohou ukázat, zda se k uzlu někdo dostal a zda z něj byly přesunuty prostředky.
Důležité je i to, kudy je LND vystavené navenek. Pokud si provozovatel spravuje vlastní přístup mimo BTCPay, aktualizace tuto cestu sama neuzavře. Týká se to například vlastní reverzní proxy, samostatné služby přes Tor nebo přesměrovaného portu. V takových případech musí provozovatel obnovit přístupové údaje zvlášť a zkontrolovat také vlastní nastavení.