NewsBTC
11 Авг 2026
Негативная

BTCPay Server исправил уязвимость LND, опустошавшую Lightning-кошельки

2 мин

BTCPay Server выпустил v2.4.2, чтобы исправить критическую уязвимость, из‑за которой учетные данные LND .macaroon были доступны удаленно без аутентификации. Злоумышленники использовали этот доступ, чтобы опустошать Lightning‑кошельки мерчантов. Проблема затрагивает отдельные развертывания BTCPay Server с LND и не связана с протоколом Bitcoin или ончейн‑кошельками. За возврат средств объявлена награда — 10% от возвращенной суммы, максимум 3 BTC. Официальные детали: Github.

Key Points

  • Патч: BTCPay Server v2.4.2 закрывает неаутентифицированный путь доступа к файлам LND .macaroon.
  • Влияние: зафиксированы кражи из Lightning‑кошельков при уязвимых конфигурациях, где были раскрыты учетные данные.
  • Область: проблема серверного приложения в связке BTCPay + LND. Консенсус Bitcoin и ончейн‑кошельки не затронуты.
  • Награда: 10% от возвращенных средств, максимум 3 BTC, чтобы стимулировать возвраты или предоставление информации.
  • Действия: обновиться до v2.4.2, проверить хранение и права доступа к учетным данным LND, оценить внешнюю экспозицию сервера и журналы.

Why It Matters

LND macaroons предоставляют разрешенный доступ к функциям ноды. Их утечка может дать непреднамеренный контроль над Lightning‑нодой. Для операторов Lightning защита учетных данных так же критична, как защита приватных ключей: безопасный кошелек не предотвратит потери, если серверные креденшелы утекут.

Context and Framing

Это событие иллюстрирует риски на уровне приложения и инфраструктуры в системах саморазмещения платежей. Lightning‑ноды управляют каналами, ликвидностью, бэкапами, удаленным доступом, маршрутизацией и учетными данными. Требуется операционная дисциплина: обновления, принцип наименьших привилегий, защищенное хранение и мониторинг.

Bounty Purpose and Limits

Награда за возврат средств нацелена на повышение шансов возвращения средств или раскрытия информации за счет мотивации и создания канала переговоров. Она не гарантирует возврат. Первоочередная задача для операторов: установить патч v2.4.2 и усилить конфигурацию.

Operator Takeaways

  • Обновите BTCPay Server до v2.4.2.
  • Перевыпустите и ограничьте LND macaroons; проверьте права на файлы и пути доступа.
  • Проведите аудит сетевой экспозиции для компонентов LND и BTCPay; обеспечьте аутентификацию.
  • Проверьте журналы на предмет аномального доступа и движений по каналам; при необходимости инициируйте реагирование на инцидент и раскрытие информации.

Источник: материалы релиза BTCPay Server v2.4.2 и детали награды за возврат на Github.