Награда за возврат похищенных монет
10 августа платежный сервер BTCPay Server объявил о вознаграждении за помощь в возвращении активов, украденных через уязвимость в Lightning-узлах. Награда составит 10 % от суммы возвращенных средств, но не более 3 BTC (около $190 000) при полном возмещении украденного.
Финансирование выплат взяли на себя неназванные спонсоры и партнёры проекта, описанные в заявлении как «друзья и сторонники» BTCPay Server.
Условия участия и распределения вознаграждения
Любой, у кого есть сведения, способные привести к возврату монет, включая самого злоумышленника, может обратиться в проект. При совместном вкладе несколько лиц разделят вознаграждение по согласованию с потерпевшими, исходя из масштаба ущерба, доли возвращенных средств и практической значимости полученной информации.
Бонус за ответственно раскрытие уязвимости
- 0,21 BTC разработчику Sparrow Wallet Крейгу Роу
- 0,21 BTC фонду волонтёрской группы Bitcoin Red Team
BTCPay Server Foundation подчеркнула, что суммы небольшие, но объясняют это некоммерческим статусом проекта как FOSS-проекта.
Рекомендации для пострадавших
Команда посоветовала пострадавшим обратиться в местные правоохранительные органы и в сервисы, куда могли поступить украденные монеты. Помощь предложили службы безопасности бирж, блокчейн-аналитики и власти.
Технические детали инцидента
Атака затронула только связки с LND; ончейн-кошельки не пострадали. В версии 2.4.2 временно отключён публичный доступ к API LND на Docker-сборках, поэтому внешние кошельки, такие как Zeus, пока не подключаются через домен BTCPay или onion-адрес. Доступ будет восстановлен после проверки безопасности.
Команда сейчас сосредоточена на патчах, усилении код-ревью с привлечением внешних аудиторов и изучении отчётов Bitcoin Red Team, Project Loupe, Magic Grants и независимых исследователей. Пользователям