BTCPay Server oferece recompensa de até 3 BTC a quem ajudar a recuperar fundos roubados em exploit que usou credenciais de nós da Lightning Network.
- Recompensa de 10% dos fundos recuperados, com teto de 3 BTC (cerca de US$ 190 mil), vale inclusive para o atacante
- Falha permitiu roubo via LND admin macaroons, credenciais de controle de nós da Lightning Network
- Usuários devem atualizar imediatamente para a versão 2.4.2 do BTCPay Server
- BTCPay Server Foundation doará 0,21 BTC ao pesquisador Craig Raw e ao fundo Bitcoin Red Team pela divulgação responsável
Apoiadores do BTCPay Server estão oferecendo 10% de qualquer valor recuperado, com teto de 3 BTC (cerca de US$ 190 mil), para quem ajudar a reaver os fundos roubados em uma exploração recente de vulnerabilidade. A recompensa vale inclusive para o próprio atacante, caso devolva o dinheiro.
Em publicação no X nesta segunda-feira, o BTCPay Server confirmou que a falha permitiu que invasores obtivessem os chamados LND admin macaroons, credenciais que concedem controle amplo sobre um nó da Lightning Network. A Lightning Network é uma rede de pagamentos de segunda camada construída sobre o blockchain do Bitcoin, criada para processar transações com mais velocidade e custo reduzido. Com essas credenciais em mãos, os atacantes conseguiram acessar as carteiras conectadas aos servidores comprometidos.
“Vamos examinar nossos erros, mas o arrependimento sozinho não vai ajudar os usuários afetados nem proteger o projeto. Não há tempo a perder. Precisamos aprender, melhorar e agir rapidamente.”
BTCPay Server
O projeto havia alertado os usuários na sexta-feira, pedindo a instalação imediata da versão 2.4.2 do software ou que os servidores fossem colocados offline. Na ocasião, nenhum roubo havia sido confirmado oficialmente. Agora, o BTCPay reconhece os furtos, mas não divulgou o montante total subtraído, o número de usuários afetados ou se algum valor já foi recuperado.
IA encontra uma falha crítica por hora em projetos Bitcoin
Se mais de uma denúncia contribuir para a recuperação dos fundos, a recompensa será dividida entre os informantes. O projeto levará em conta as perdas de cada vítima, o valor recuperado e a utilidade de cada informação fornecida.
Reconhecimento a pesquisadores e reforço de segurança
A BTCPay Server Foundation anunciou ainda a doação de 0,21 BTC para o pesquisador de segurança Craig Raw e o mesmo valor para o fundo Bitcoin Red Team, em reconhecimento à divulgação responsável da vulnerabilidade.
“Estas são contribuições modestas, mas são o que podemos oferecer como projeto de código aberto e uma forma de valorizar pessoas que fazem trabalho crítico de segurança, o que beneficia todo o ecossistema.”
BTCPay Server
O projeto afirmou que está reforçando revisões de código e priorizando correções de segurança em detrimento de novos recursos. A justificativa é que o uso crescente de inteligência artificial está facilitando a identificação de vulnerabilidades em softwares de Bitcoin por parte de atacantes.
Bybit processa Coreia do Norte por hack de US$ 1,4 bilhão
Análise: No Brasil, onde o uso de soluções self-custody (custódia própria de criptomoedas) e de pagamentos via Lightning Network cresce entre comerciantes e desenvolvedores, o episódio reforça a atenção necessária com atualizações de segurança em infraestruturas próprias. Usuários que operam o BTCPay Server devem verificar imediatamente se estão na versão 2.4.2 do software.
O BTCPay não estabeleceu prazo para encerrar a recompensa, mas deixou claro que a urgência é total: a investigação segue aberta e qualquer informação pode ser encaminhada ao projeto.
Fontes: Decrypt
Leia também
- ARP Digital obtém licença de broker-dealer da VARA de Dubai
- Anthropic fecha acordo de US$ 9 bi com mineradora Riot
- Bybit processa Coreia do Norte por hack de US$ 1,4 bilhão
