BTCPay kêu gọi thay ví sau các vụ trộm bị nghi lấy khoảng 1,63 triệu USD

BTCPay Server kêu gọi các đơn vị bán hàng thay ví và cài đặt lại máy chủ thanh toán lỗi thời sau khi kẻ tấn công lấy cắp Bitcoin và Litecoin. Nhà cung cấp phần mềm thanh toán Bitcoin mã nguồn mở đưa ra khuyến nghị này trong thông báo bảo mật ngày 2 tháng 11. BTCPay cảnh báo việc cập nhật phần mềm có thể vẫn khiến tiền gặp rủi ro nếu kẻ tấn công đã truy cập máy chủ. Các cuộc tấn công nhắm vào những bản cài đặt phiên bản 2.4.1 trở về trước, sử dụng một phương thức khai thác khác đối với lỗ hổng đã được vá ngày 7 tháng 8.

Công ty phân tích blockchain Bitquery lần theo khoảng 1,63 triệu USD trong các vụ trộm bị nghi xảy ra từ ngày 30 tháng 10 đến ngày 2 tháng 11. Bitquery xác định 682 giao dịch quét ví, liên quan đến 18,38 BTC và 3.405 LTC. Bitquery phát hiện khoảng thời gian 8 giờ trong ngày 1 tháng 11 chiếm 87% số tiền được chuyển đi. Bitquery ước tính các giao dịch trong giờ cao điểm nhất trị giá khoảng 725.000 USD. BTCPay chưa xác nhận tổng thiệt hại hoặc xác định có bao nhiêu đơn vị bán hàng bị xâm nhập.

Các vụ trộm bị nghi vẫn tiếp diễn sau khi BTCPay công khai yêu cầu các đơn vị vận hành tắt máy chủ. Bitquery xác định thêm 267 giao dịch quét ví, trị giá khoảng 150.000 USD, sau khi BTCPay đưa ra cảnh báo ngày 1 tháng 11 lúc 22:25 UTC. Bitquery tiếp tục ghi nhận các giao dịch trong đêm cho đến khi công ty ngừng thống kê lúc 06:00 UTC ngày 2 tháng 11. BTCPay cho biết đã liên hệ với các nhà cung cấp dịch vụ lưu trữ, trong đó có LunaNode, để ngắt các bản cài đặt bị ảnh hưởng như một biện pháp phòng ngừa. BTCPay nhận được báo cáo đầu tiên về vụ trộm qua email lúc 20:56 UTC, dù cuộc điều tra của công ty xác định một ví đã bị rút tiền trước đó trong buổi chiều.

BTCPay cho biết đến thời điểm đưa ra cảnh báo hồi tháng 11, các cuộc tấn công chưa ảnh hưởng đến máy chủ chạy phiên bản 2.4.2 trở lên. BTCPay cũng xác nhận các vụ trộm được báo cáo không ảnh hưởng đến những ví có khóa chi tiêu được lưu ngoài máy chủ, bao gồm ví phần cứng. Tuy nhiên, BTCPay kêu gọi các đơn vị vận hành từng sử dụng phiên bản có lỗ hổng chuyển sang cài đặt máy chủ hoàn toàn mới, kể cả sau khi cập nhật phần mềm hoặc không phát hiện tổn thất. Kẻ tấn công từng có quyền truy cập quản trị có thể vẫn giữ được thông tin đăng nhập hoặc bí mật ví có thể sử dụng sau khi lỗ hổng được vá.

BTCPay khuyến nghị tạo ví bằng cụm từ khôi phục mới trên một thiết bị đáng tin cậy và chuyển số tiền còn lại khỏi ví nóng cũ. Các đơn vị vận hành phải ngừng sử dụng máy chủ hiện tại, đồng thời lưu lại hồ sơ giao dịch và nhật ký liên quan. Họ phải cài đặt phần mềm mới nhất còn được hỗ trợ trên một máy ảo mới mà không khôi phục hệ thống trước đó. Các đơn vị vận hành nên dùng thiết bị đáng tin cậy để thay đổi mật khẩu dịch vụ lưu trữ, thông tin xác thực SSH, khóa truy cập ứng dụng, khóa API và thông tin xác thực Lightning có thể đã bị lộ.

Bitquery phát hiện tính đến đầu ngày 2 tháng 11, hơn 99% số tiền bị nghi đánh cắp vẫn nằm tại các địa chỉ được sử dụng ban đầu trong các vụ trộm. Bitquery không phát hiện giao dịch chuyển tiền đến các sàn giao dịch đã biết. Bitquery lưu ý 682 giao dịch quét ví không đồng nghĩa với số đơn vị bán hàng bị ảnh hưởng tương ứng, vì nhiều giao dịch có thể rút tiền từ cùng một ví. BTCPay cảnh báo một số hoạt động liên quan đến các địa chỉ được xác định dường như đã diễn ra trước những sự cố được báo cáo. BTCPay chưa xác định đầy đủ tiến trình các cuộc tấn công hoặc kết luận chắc chắn giao dịch nào liên quan đến hành vi trộm cắp.

BTCPay bày tỏ tiếc nuối vì chưa thông báo đầy đủ cho các đơn vị vận hành sử dụng bản cài đặt lỗi thời sau thông báo bảo mật hồi tháng 8. Kể từ tháng 8, BTCPay đã phát hành thêm một số bản cập nhật bảo mật, trong đó có phiên bản 2.4.7 ngày 29 tháng 10. BTCPay tiếp tục điều tra các vụ xâm nhập và thu thập báo cáo cùng hồ sơ giao dịch từ các đơn vị vận hành bị ảnh hưởng.