هک BTCPay Server نگرانی‌های امنیتی تازه‌ای را پس از دریافت گزارش‌هایی مبنی بر برداشت وجوه از کیف پول‌های داغ (hot wallets) معامله‌گران توسط مهاجمان، برانگیخته است.
این پروژه متن‌باز در تاریخ اول نوامبر، هشداری اضطراری صادر کرد و از مدیران خواست تا سرورهای پرداخت خود را به طور موقت خاموش کنند تا تیم این پروژه بتواند حوادث را بررسی کند.
این وضعیت به ویژه برای کسب‌وکارهایی که از BTCPay Server برای پذیرش بیت کوین بدون اتکا به واسطه‌های پرداخت سنتی استفاده می‌کنند، نگران‌کننده است. با پیشرفت تحقیقات، اطلاعات بیشتری درباره نسخه‌های نرم‌افزاری آسیب‌پذیر و اهمیت به‌روز نگه داشتن زیرساخت پرداخت ارزهای دیجیتال آشکار می‌شود.
**خلاصه:**
BTCPay Server به مدیران هشدار داد سرورهای خود را خاموش کنند پس از آنکه گزارش‌هایی مبنی بر برداشت‌های غیرمجاز از کیف پول‌های داغ بیت کوین دریافت کرد. محققان یک بردار حمله را شناسایی کرده‌اند که نسخه ۲.۴.۱ و نسخه‌های قدیمی‌تر را تحت تاثیر قرار می‌دهد، در حالی که هیچ گزارش معتبری از تخلیه کیف پول برای نسخه ۲.۴.۷ وجود نداشته است. مبلغ کل سرقت شده، تعداد معامله‌گران تحت تاثیر و روش دقیق مهاجمان برای دستیابی به سیستم هنوز تایید نشده است.
هشدار اضطراری پس از هک BTCPay Server
BTCPay Server یک پردازشگر پرداخت بیت کوین رایگان و خودمیزبان است که به معامله‌گران اجازه می‌دهد مستقیماً پرداخت‌های ارز دیجیتال دریافت کنند. برخلاف پلتفرم‌های پرداخت متمرکز، کسب‌وکارها سرورها و پیکربندی کیف پول خود را مدیریت می‌کنند. این استقلال کنترل بیشتری را فراهم می‌کند، اما مسئولیت امنیت نرم‌افزار را نیز بر دوش اپراتورهای فردی می‌گذارد.
در تاریخ اول نوامبر، این پروژه هشدار داد که مهاجمان در حال برداشت بیت کوین از کیف پول‌های داغ متصل به برخی از نصب‌ها هستند. اپراتورها دستور داشتند تا با استفاده از دستور
./btcpay-down.sh
سرورهای خود را خاموش کنند تا تحقیقات ادامه یابد. از آنجایی که BTCPay Server از طریق نصب‌های مستقل مدیریت می‌شود، توسعه‌دهندگان آن نمی‌توانند از راه دور تمام سرورهای آسیب‌دیده را غیرفعال کنند. این موضوع اهمیت دارد زیرا زیرساخت غیرمتمرکز کنترل بیشتری به کسب‌وکارها می‌دهد، اما پاسخگویی در شرایط اضطراری نیازمند اقدام سریع اپراتورهای فردی است.
شناسایی نسخه‌های قدیمی‌تر نرم‌افزار
پس از هشدار اولیه، تحقیقات BTCPay Server یک بردار حمله را شناسایی کرد که نسخه ۲.۴.۱ و نسخه‌های قدیمی‌تر را هدف قرار داده بود. این پروژه متعاقباً گزارش داد که هیچ گزارش معتبری از تخلیه کیف پول داغ که شامل آخرین نسخه ۲.۴.۷ آن باشد، دریافت نکرده است. با این حال، این بدان معنا نیست که محققان تأیید کرده‌اند که تمام پیکربندی‌های جدیدتر کاملاً امن هستند.
نیکولاس دوریه، بنیانگذار BTCPay Server، اشاره کرد که مهاجمان به دسترسی مدیر (administrator access) به نصب‌های آسیب‌دیده دست یافته بودند. نحوه دستیابی به این دسترسی هنوز تحت بررسی است. این پروژه نسخه ۲.۴.۷ را در تاریخ ۲۹ اکتبر، اندکی قبل از عمومی شدن آخرین حوادث، منتشر کرد. طبق یادداشت‌های انتشار رسمی گیت‌هاب آن، این به‌روزرسانی ۸۵ یافته امنیتی را برطرف می‌کند، از جمله یکی که به عنوان بحرانی و ۱۳ مورد که با شدت بالا طبقه‌بندی شده‌اند. باید این اصلاحات را از تحقیقات جاری متمایز کرد، زیرا پروژه به طور عمومی تأیید نکرده است که هر سرقت کیف پول گزارش شده ناشی از یکی از این آسیب‌پذیری‌های خاص بوده است.
چرا کیف پول‌های داغ بیت کوین در معرض خطرات بیشتری قرار دارند
حملات گزارش شده تفاوت مهمی را بین کیف پول‌های داغ و ذخیره‌سازی سرد (cold storage) برجسته می‌کند. کیف پول‌های داغ به اینترنت متصل باقی می‌مانند و این امر آنها را برای کسب‌وکارهایی که به طور منظم پرداخت‌ها را پردازش می‌کنند، راحت می‌کند. با این حال، این اتصال می‌تواند فرصت‌هایی را برای مهاجمان ایجاد کند. اگر کسی کنترل کافی بر روی سروری که اطلاعات احراز هویت کیف پول را در خود نگه می‌دارد به دست آورد، ممکن است بتواند تراکنش‌های غیرمجاز را مجاز کند. ذخیره‌سازی سرد این ریسک را با نگه داشتن کلیدهای امضا در حالت آفلاین کاهش می‌دهد.
برای کسب‌وکارهایی که تراکنش‌های مکرر بیت کوین را انجام می‌دهند، ایجاد تعادل بین راحتی و امنیت یک چالش قابل توجه باقی می‌ماند. با دنبال کردن تحولات بیت کوین، حوادث مربوط به زیرساخت پرداخت به ما یادآوری می‌کند که حفاظت از دارایی‌های دیجیتال فراتر از امن کردن خود بلاک‌چین است. برنامه‌ها و سیستم‌های اطراف بیت کوین نیز به محافظت مستمر نیاز دارند.
مشکلات امنیتی قبلی نگرانی‌ها را افزایش می‌دهد
این اولین حادثه امنیتی BTCPay Server در سال ۲۰۲۶ نیست. در ماه آگوست، این پروژه آسیب‌پذیری را افشا کرد که به مهاجمان اجازه می‌داد اعتبارنامه‌های مدیریتی مربوط به کیف پول‌های متصل به شبکه لایتنینگ را به دست آورند. این ضعف نصب‌های قدیمی‌تر را تحت تاثیر قرار داد و از طریق نسخه ۲.۴.۲ برطرف شد. تحقیقات اخیر مجدداً توجه را به نصب‌هایی جلب کرده است که به‌روزرسانی‌های امنیتی مهم را نادیده گرفته‌اند. با این حال، هنوز نمی‌توان نتیجه گرفت که حوادث نوامبر از دقیقاً همان روش استفاده کرده‌اند. این تمایز مهم است زیرا یک آسیب‌پذیری قبلی و یک حمله تازه گزارش شده ممکن است نسخه‌های نرم‌افزاری آسیب‌دیده را به اشتراک بگذارند اما علت یکسان نباشد.
این وضعیت همچنین چالشی گسترده‌تر در صنعت ارزهای دیجیتال را منعکس می‌کند، جایی که نرم‌افزار قدیمی می‌تواند کسب‌وکارها را در معرض زیان‌های مالی قابل توجه قرار دهد.
گام‌های بعدی برای BTCPay Server
BTCPay Server ارزش کل بیت کوین سرقت شده یا تعداد نصب‌های به خطر افتاده را تأیید نکرده است. محققان در حال بررسی بیشتر این حوادث، از جمله چگونگی دستیابی مهاجمان به امتیازات مدیریتی هستند. این پروژه از کاربران خواسته است نرم‌افزار خود را به‌روز نگه دارند و اطلاعات را از مدیران آسیب‌دیده درخواست کرده است. برای کسب‌وکارهایی که زیرساخت پرداخت بیت کوین را اجرا می‌کنند، بازبینی اطلاعیه‌های امنیتی رسمی و پیروی از راهنمایی‌های بازیابی پروژه باید در اولویت باقی بماند.
ما منتظر توضیحات تأیید شده حمله، دستورالعمل‌های اصلاحی اضافی و هرگونه به‌روزرسانی در مورد وجوه سرقت شده خواهیم بود. این حادثه همچنین سوالاتی را در مورد نحوه مدیریت سیستم‌های پرداخت خودمیزبانی توسط کسب‌وکارهای کوچکتر مطرح می‌کند. با رایج‌تر شدن پرداخت‌های ارز دیجیتال، شیوه‌های امنیتی قابل اعتماد در اکوسیستم بلاک‌چین اهمیت فزاینده‌ای خواهند یافت. تحقیقات BTCPay Server هنوز در حال توسعه است، اما یک درس در حال حاضر روشن است: کنترل زیرساخت بیت کوین خود به معنای پذیرش مسئولیت حفاظت از آن است.
