BTCPay mendesak penggantian dompet setelah dugaan pencurian sekitar 1,63 juta dolar AS

BTCPay Server mendesak para pedagang mengganti dompet dan membangun ulang server pembayaran yang sudah usang setelah penyerang mencuri Bitcoin dan Litecoin. Penyedia perangkat lunak pembayaran Bitcoin sumber terbuka itu menyampaikan saran tersebut dalam imbauan keamanan pada 2 November. BTCPay memperingatkan bahwa pembaruan perangkat lunak mungkin tetap membuat dana rentan jika penyerang sudah mengakses server. Serangan menyasar instalasi versi 2.4.1 dan yang lebih lama melalui metode eksploitasi berbeda terhadap kerentanan yang ditambal pada 7 Agustus.

Perusahaan analitik blockchain Bitquery menelusuri dugaan pencurian sekitar 1,63 juta dolar AS antara 30 Oktober dan 2 November. Bitquery mengidentifikasi 682 transaksi penyapuan dompet yang melibatkan 18,38 BTC dan 3.405 LTC. Bitquery menemukan bahwa periode delapan jam pada 1 November mencakup 87% dana yang dipindahkan. Bitquery memperkirakan transfer selama jam tersibuk mencapai sekitar 725.000 dolar AS. BTCPay belum mengonfirmasi total kerugian ataupun mengetahui jumlah pedagang yang terdampak.

Dugaan pencurian berlanjut setelah BTCPay secara terbuka meminta operator mematikan server. Bitquery mengidentifikasi 267 transaksi penyapuan dompet lainnya, senilai sekitar 150.000 dolar AS, setelah BTCPay mengeluarkan peringatan pada 1 November pukul 22:25 UTC. Bitquery terus mencatat transfer sepanjang malam hingga perusahaan itu mengakhiri penghitungan pada 2 November pukul 06:00 UTC. BTCPay mengatakan penyedia hosting, termasuk LunaNode, telah dihubungi untuk menonaktifkan instalasi yang terdampak sebagai langkah pencegahan. BTCPay menerima laporan pencurian pertama melalui email pada pukul 20:56 UTC, meskipun penyelidikan BTCPay mengidentifikasi pengurasan dompet yang lebih awal pada sore hari itu.

BTCPay mengatakan serangan tersebut belum berdampak pada server yang menjalankan versi 2.4.2 atau lebih baru saat peringatan November dikeluarkan. BTCPay juga mengonfirmasi bahwa pencurian yang dilaporkan tidak berdampak pada dompet dengan kunci untuk membelanjakan dana yang disimpan di luar server, termasuk dompet perangkat keras. Namun, BTCPay mendesak operator yang sebelumnya menggunakan versi rentan untuk beralih ke instalasi server yang sepenuhnya baru, sekalipun mereka telah memperbarui perangkat lunak atau tidak mendeteksi kerugian. Penyerang yang sebelumnya memperoleh akses administratif mungkin masih memiliki kredensial atau rahasia dompet yang dapat digunakan setelah kerentanan ditambal.

BTCPay merekomendasikan pembuatan dompet dengan frasa pemulihan baru menggunakan perangkat tepercaya dan pemindahan sisa dana dari dompet panas lama. Operator harus menonaktifkan server yang ada, tetapi menyimpan catatan transaksi dan log terkait. Operator harus menginstal perangkat lunak terbaru yang didukung pada mesin virtual baru tanpa memulihkan sistem sebelumnya. Operator sebaiknya menggunakan perangkat tepercaya untuk mengganti kata sandi hosting, kredensial SSH, kunci akses aplikasi, kunci API, dan kredensial Lightning yang mungkin telah terekspos.

Bitquery menemukan bahwa lebih dari 99% dana yang diduga dicuri masih berada di alamat yang pertama kali digunakan dalam pencurian tersebut pada awal 2 November. Bitquery tidak mengidentifikasi transfer ke bursa yang diketahui. Bitquery mengingatkan bahwa 682 transaksi penyapuan tidak berarti jumlah pedagang terdampak sama banyaknya karena beberapa transaksi dapat menguras satu dompet. BTCPay memperingatkan bahwa sebagian aktivitas yang melibatkan alamat-alamat yang diidentifikasi tampaknya terjadi sebelum insiden yang dilaporkan. BTCPay belum mengetahui linimasa serangan secara keseluruhan atau mengidentifikasi secara pasti transaksi mana yang melibatkan pencurian.

BTCPay menyatakan penyesalan karena belum cukup menjangkau operator yang menggunakan instalasi usang setelah imbauan keamanan pada Agustus. BTCPay telah merilis beberapa pembaruan keamanan lanjutan sejak Agustus, termasuk versi 2.4.7 pada 29 Oktober. BTCPay terus menyelidiki penyusupan dan mengumpulkan laporan serta catatan transaksi dari operator yang terdampak.