Una vulnerabilidad crítica en BTCPay Server ha sido explotada activamente para robar fondos de nodos de Lightning Network que utilizan LND. Los atacantes consiguieron acceder a credenciales capaces de controlar los nodos y mover sus fondos, obligando al proyecto a pedir una actualización inmediata a la versión 2.4.2.
El ataque permitió tomar el control de nodos Lightning
La vulnerabilidad permitía que un atacante remoto sin autenticación obtuviera archivos “.macaroon”, credenciales utilizadas para otorgar permisos a aplicaciones que interactúan con nodos Lightning ejecutados mediante LND.
Una vez obtenidos estos archivos, los atacantes podían conseguir acceso al nodo, cerrar canales de Lightning y transferir los bitcoins almacenados.
BTCPay confirmó que se produjeron robos reales y recomendó a todos los operadores que utilizan LND actualizar inmediatamente a BTCPay Server 2.4.2 o desconectar temporalmente sus servidores.
Foundation y Citadel21 figuran entre las víctimas
Entre los afectados se encuentra Foundation, fabricante de hardware wallets. Su CEO, Zach Herbert, informó de que los atacantes consiguieron vaciar durante la noche el nodo Lightning de BTCPay de la compañía, cerrando sus canales y retirando los fondos.
La publicación especializada en Bitcoin Citadel21 también confirmó que su nodo Lightning había sido vaciado, aunque aseguró que mantenía una cantidad reducida de fondos.
Por el momento, BTCPay no ha revelado cuántos usuarios fueron afectados ni la cantidad total de Bitcoin sustraída.
Las wallets on-chain estándar de BTCPay no están afectadas
BTCPay aclaró posteriormente que la vulnerabilidad no afecta a sus wallets on-chain estándar, incluidas las hot wallets generadas directamente dentro de BTCPay.
El riesgo está específicamente relacionado con implementaciones que utilizan LND. Sin embargo, los bitcoins almacenados en la propia wallet on-chain de un nodo LND comprometido también pueden estar expuestos debido al nivel de acceso conseguido por los atacantes.
Bitcoin afronta una semana complicada en materia de seguridad
La vulnerabilidad ya había sido detectada por miembros de Bitcoin Red Team, un grupo de desarrolladores que está utilizando modelos de inteligencia artificial para analizar diferentes bases de código relacionadas con Bitcoin en busca de fallos de seguridad.
BTCPay todavía no ha publicado todos los detalles técnicos para dar tiempo a los operadores a proteger sus sistemas. El proyecto prepara un informe completo sobre el incidente para los próximos días.
El ataque no representa una vulnerabilidad del protocolo Bitcoin ni de Lightning Network en su conjunto, sino un fallo relacionado específicamente con BTCPay Server y las implementaciones que utilizan LND.
