2.285.545 satoshi bị rút trái phép khỏi máy chủ BitTipBot

2.285.545 satoshi, tương đương 0,02285545 Bitcoin(BTC), đã bị rút trái phép khỏi một máy chủ BitTipBot sử dụng LNbits, phần mềm thanh toán Bitcoin qua Lightning. Sự cố chỉ ảnh hưởng đến một máy chủ do BitTipBot vận hành, không phải toàn bộ LNbits.

Kevin Ravensberg, người vận hành BitTipBot, viết trên X ngày 8 rằng “các tài khoản mới được tạo đã khai thác lỗ hổng”. Satoshi là đơn vị nhỏ nhất của Bitcoin; 1 Bitcoin tương đương 100 triệu satoshi.

Theo Ravensberg, vụ tấn công diễn ra từ 18 giờ 22 đến 23 giờ ngày 8 (giờ Hàn Quốc). Ông cho biết tiền đã bị rút trước khi máy chủ ngừng hoạt động.

Ravensberg nói sẽ bù đắp tổn thất cho những người dùng bị ảnh hưởng. Tuy nhiên, người dùng chưa thể truy cập tiền cho đến khi lỗ hổng được khắc phục.

Ngày 8, lúc 21 giờ 33 (giờ Hàn Quốc), LNbits đề nghị những người vận hành dùng tiện ích mở rộng Paywall tắt tính năng này. Cảnh báo đầu tiên chỉ nhắm đến tiện ích đó.

Đến 22 giờ 56 cùng ngày (giờ Hàn Quốc), LNbits khuyến nghị tất cả người vận hành lập tức tắt máy chủ, với lý do các cuộc tấn công đang tiếp diễn và cần nhiều bản vá bảo mật. Cả hai cảnh báo đều được đưa ra trong khoảng thời gian Ravensberg cho biết vụ tấn công diễn ra.

LNbits là phần mềm giúp người dùng tự vận hành ví Lightning và dịch vụ thanh toán trên máy chủ riêng. Khuyến nghị lần này nhắm vào các máy chủ chạy LNbits.

Bitcoin blockchain và toàn bộ mạng Lightning không bị ngừng hoạt động. LNbits chỉ khuyến nghị tạm dừng các máy chủ phần mềm thanh toán.

Dịch vụ lưu trữ do LNbits trực tiếp vận hành cũng đã tạm dừng để phòng ngừa. Người dùng tự quản lý máy chủ cần tự tắt máy chủ của mình.

Trước đó, TokenPost đưa tin LNbits cho biết đã vô hiệu hóa mọi phiên bản của dịch vụ lưu trữ và dự kiến khôi phục trong vòng 24 giờ. Kế hoạch khôi phục dịch vụ lưu trữ và khuyến nghị tắt máy chủ của từng người vận hành là hai biện pháp riêng biệt.

Sau đó, TokenPost cũng đưa tin chưa có lịch khôi phục dịch vụ lưu trữ. Vụ rút tiền lần này xảy ra trên máy chủ BitTipBot do một người vận hành riêng quản lý.

LNbits ban đầu cảnh báo về vấn đề tiềm ẩn của tính năng Paywall, nhưng chưa công bố tên tiện ích mở rộng thực sự bị khai thác trên máy chủ BitTipBot. Vì vậy, cảnh báo về Paywall không đủ để kết luận tiện ích này gây ra vụ rút tiền.

Trang phát hành chính thức của LNbits hiển thị phiên bản 1.6.2, được công bố vào tháng 9, là phiên bản mới nhất. Nội dung cập nhật của phiên bản này là sửa tính năng sao lưu cơ sở dữ liệu; trang không ghi đây là bản vá bảo mật khắc phục sự cố lần này.