BTCPay exhorte les commerçants ayant utilisé des serveurs de paiement vulnérables à remplacer leurs portefeuilles et à repartir d’installations neuves, après que Bitquery a détecté environ 1,63 million de dollars de vols présumés de Bitcoin et de Litecoin. L’entreprise a identifié 18,38 BTC et 3 405 LTC dans 682 opérations de vidage de portefeuilles entre le 30 octobre et le 2 novembre. Selon BTCPay, installer une mise à jour pourrait ne pas protéger les fonds si des attaquants ont déjà accédé à un serveur.
Pourquoi c’est important
Les attaques ont visé des installations utilisant la version 2.4.1 ou une version antérieure, en exploitant par une autre méthode une vulnérabilité corrigée par BTCPay le 7 août. Le projet a indiqué n’avoir constaté aucun impact sur les serveurs utilisant déjà la version 2.4.2 ou une version ultérieure au moment de son avertissement du 1er novembre. Les portefeuilles matériels et les autres portefeuilles dont les clés de dépense étaient stockées hors serveur n’ont pas été touchés par les vols signalés.
Une mise à jour logicielle ne peut pas révoquer les identifiants ou les secrets de portefeuille que des attaquants ont peut-être déjà obtenus. BTCPay recommande de générer une nouvelle phrase de récupération sur un appareil de confiance, de transférer les fonds restants, de mettre hors service l’ancien serveur et d’installer un logiciel pris en charge sur une nouvelle machine virtuelle, sans restaurer l’ancien système. Les mots de passe d’hébergement, identifiants SSH, clés API et autres identifiants d’accès exposés doivent également être remplacés.
Impact sur le marché
Bitquery a comptabilisé 267 opérations de vidage supplémentaires, d’une valeur d’environ 150 000 dollars, après l’avertissement de BTCPay du 1er novembre. Selon l’entreprise, 87 % des fonds présumés volés ont été transférés sur une période de huit heures, dont environ 725 000 dollars pendant l’heure la plus chargée. Au début du 2 novembre, plus de 99 % des fonds suivis se trouvaient encore à des adresses utilisées pour la première fois lors des vols, sans transfert identifié vers des plateformes d’échange connues.
Ces chiffres ne permettent pas de déterminer combien de commerçants ont été touchés : plusieurs opérations peuvent concerner un même portefeuille, et BTCPay n’a confirmé ni le montant total des pertes ni l’ensemble de la chronologie des attaques. Le projet recueille des signalements tandis que son enquête se poursuit.
Questions fréquemment posées
-
Quel montant de Bitcoin et de Litecoin Bitquery a-t-elle détecté dans les vols présumés ?
Bitquery a détecté environ 1,63 million de dollars, soit 18,38 BTC et 3 405 LTC répartis sur 682 opérations de vidage de portefeuilles entre le 30 octobre et le 2 novembre.
-
Pourquoi BTCPay recommande-t-il un nouveau serveur même après l’installation d’une mise à jour ?
Les attaquants ont peut-être déjà obtenu un accès et récupéré des identifiants ou des secrets de portefeuille. Une mise à jour ne rend pas nécessairement inutilisables les informations qu’ils ont obtenues.
-
Quelles versions de BTCPay Server ont été visées par les attaques signalées ?
Les attaques ont visé des installations utilisant la version 2.4.1 ou une version antérieure. BTCPay a indiqué n’avoir constaté aucun impact sur les serveurs utilisant la version 2.4.2 ou une version ultérieure lors de son avertissement du 1er novembre.
-
Que doivent faire les commerçants avec les identifiants potentiellement exposés et les fonds de leurs portefeuilles ?
BTCPay recommande de créer un nouveau portefeuille sur un appareil de confiance, de transférer les fonds restants, de mettre hors service l’ancien serveur et de remplacer les mots de passe, identifiants SSH, clés API et autres identifiants d’accès exposés.
-
Les 682 opérations de vidage signifient-elles que 682 commerçants ont été touchés ?
Non. Bitquery a précisé qu’un même portefeuille pouvait avoir été vidé en plusieurs transactions. Le nombre d’opérations ne permet donc pas de déterminer combien de commerçants ont été touchés.
WuBlockchain
TheBlock
Altcoin Daily
CoinDesk
CoinTelegraph
Lookonchain