BTCPay invita a sostituire i wallet dopo furti sospetti per circa 1,63 milioni di dollari

BTCPay Server ha invitato gli esercenti a sostituire i wallet e ricostruire i server di pagamento obsoleti dopo che gli aggressori hanno rubato Bitcoin e Litecoin. Il fornitore di software open source per i pagamenti in Bitcoin ha diffuso le raccomandazioni in un avviso di sicurezza del 2 novembre. BTCPay ha avvertito che l'aggiornamento del software potrebbe lasciare i fondi esposti se gli aggressori avevano già avuto accesso al server. Gli attacchi hanno preso di mira le installazioni con la versione 2.4.1 e quelle precedenti, sfruttando con un metodo diverso una vulnerabilità corretta il 7 agosto.

La società di analisi blockchain Bitquery ha ricondotto circa 1,63 milioni di dollari di furti sospetti al periodo tra il 30 ottobre e il 2 novembre. Bitquery ha individuato 682 svuotamenti di wallet, per un totale di 18,38 BTC e 3.405 LTC. Secondo Bitquery, un intervallo di otto ore il 1° novembre ha rappresentato l'87% dei fondi trasferiti. Bitquery ha stimato in circa 725.000 dollari i trasferimenti durante l'ora di maggiore attività. BTCPay non ha né confermato le perdite complessive né stabilito quanti esercenti siano stati compromessi.

I furti sospetti sono proseguiti dopo che BTCPay aveva invitato pubblicamente gli operatori a spegnere i server. Bitquery ha individuato altri 267 svuotamenti di wallet, per circa 150.000 dollari, dopo l'avviso di BTCPay del 1° novembre alle 22:25 UTC. Bitquery ha continuato a registrare trasferimenti durante la notte, fino a quando la società ha interrotto il conteggio alle 06:00 UTC del 2 novembre. BTCPay ha dichiarato di aver contattato i fornitori di hosting, tra cui LunaNode, per mettere offline le installazioni interessate a titolo precauzionale. BTCPay ha ricevuto via e-mail la prima segnalazione di furto alle 20:56 UTC, anche se la sua indagine ha individuato un precedente svuotamento di wallet nel pomeriggio.

BTCPay ha dichiarato che, al momento dell'avviso di novembre, gli attacchi non avevano interessato i server con la versione 2.4.2 o successiva. BTCPay ha inoltre confermato che i furti segnalati non hanno coinvolto i wallet con chiavi di spesa conservate al di fuori del server, compresi gli hardware wallet. Tuttavia, BTCPay ha invitato gli operatori che in precedenza avevano usato versioni vulnerabili a passare a installazioni completamente nuove del server, anche se hanno aggiornato il software o non hanno rilevato perdite. Gli aggressori che avevano già ottenuto l'accesso amministrativo potrebbero conservare credenziali o segreti dei wallet ancora utilizzabili anche dopo la correzione della vulnerabilità.

BTCPay raccomanda di creare un wallet con una nuova frase di recupero usando un dispositivo affidabile e di trasferire i fondi rimanenti dal vecchio hot wallet. Gli operatori devono dismettere i server esistenti, conservando le registrazioni delle transazioni e i log pertinenti. Devono installare l'ultima versione supportata del software su una nuova macchina virtuale senza ripristinare il sistema precedente. Dovrebbero usare un dispositivo affidabile per sostituire le password di hosting potenzialmente esposte, le credenziali SSH, le chiavi di accesso all'applicazione, le chiavi API e le credenziali Lightning.

Secondo Bitquery, all'inizio del 2 novembre oltre il 99% dei fondi sospettati di essere stati rubati si trovava ancora agli indirizzi utilizzati inizialmente durante i furti. Bitquery non ha individuato trasferimenti verso exchange noti. La società ha precisato che i 682 svuotamenti non corrispondono necessariamente a un ugual numero di esercenti colpiti, perché più transazioni potrebbero svuotare un singolo wallet. BTCPay ha avvertito che alcune attività associate agli indirizzi individuati sembrano precedere gli incidenti segnalati. BTCPay non ha ricostruito l'intera cronologia degli attacchi né identificato in modo conclusivo quali transazioni fossero legate a furti.

BTCPay si è rammaricata di non aver informato adeguatamente gli operatori che utilizzavano installazioni obsolete dopo l'avviso di sicurezza di agosto. Da allora BTCPay ha rilasciato diversi altri aggiornamenti di sicurezza, tra cui la versione 2.4.7 il 29 ottobre. BTCPay continua a indagare sulle intrusioni e a raccogliere segnalazioni e registrazioni delle transazioni dagli operatori interessati.