Nuevo golpe a Bitcoin: hackers vacían nodos de Lightning

Bitcoin atraviesa una semana difícil. Esta vez, unos hackers han explotado una grave brecha de seguridad en un software utilizado para pagos a través de Lightning Network.

Los atacantes aprovecharon el viernes una vulnerabilidad en BTCPay Server, un software que permite, entre otros, a comercios en línea y empresas recibir pagos en Bitcoin. A través del fallo, pudieron acceder a determinados nodos Lightning y desviar los bitcoin disponibles.

BTCPay confirma que efectivamente se han robado BTC. Por ahora no se sabe cuántas víctimas se han visto afectadas ni cuántos bitcoin se han sustraído en total. Se insta a los usuarios del software vulnerable a actualizar de inmediato a la versión 2.4.2 o a desconectar temporalmente su servidor.

Así pudieron los hackers robar Bitcoin

La brecha de seguridad afecta a instalaciones de BTCPay Server que utilizan LND, un software popular para gestionar un nodo en Lightning Network.

A través de Lightning, los usuarios pueden enviar Bitcoin de forma más rápida y barata. Las empresas usan BTCPay Server, por ejemplo, para recibir directamente de sus clientes este tipo de pagos en Bitcoin.

La vulnerabilidad daba a los atacantes acceso a los llamados archivos macaroon. Pueden entenderse como llaves digitales de acceso a un nodo Lightning. En condiciones normales, estos archivos determinan quién puede acceder y qué operaciones están permitidas.

Gracias al fallo, los hackers pudieron hacerse con estos archivos sin iniciar sesión previamente. Con las llaves de acceso robadas, lograron después tomar el control de los nodos LND afectados y desviar los bitcoin disponibles.

No todos los bitcoin dentro de BTCPay están en riesgo. Según el proyecto, los monederos calientes convencionales creados directamente en BTCPay no se ven afectados por esta vulnerabilidad. En cambio, sí pueden robarse los bitcoin depositados en el monedero de un nodo LND comprometido.

Primeras empresas informan de robos de Bitcoin

Las primeras víctimas ya han empezado a dar la voz de alarma. Una de ellas es Foundation, fabricante de monederos físicos. Según su consejero delegado, Zach Herbert, los hackers lograron vaciar durante la noche el nodo Lightning de la empresa. Para ello, cerraron los canales Lightning y transfirieron los bitcoin disponibles.

El monedero caliente de Bitcoin habitual de Foundation dentro de BTCPay no se vio afectado. Esto confirma que el ataque estaba dirigido específicamente contra la instalación vulnerable de LND.

También se vio afectada la publicación sobre Bitcoin Citadel21. Los atacantes vaciaron igualmente su nodo Lightning, aunque, según la organización, en ese momento solo había una pequeña cantidad.

La magnitud total de los daños sigue siendo, por ahora, incierta. BTCPay aún no ha comunicado cuántos usuarios han sido víctimas ni cuántos bitcoin se han robado en total.

La brecha ya se había descubierto antes del ataque

Llama la atención que la brecha de seguridad ya había sido comunicada a BTCPay antes de que se supiera que los hackers la estaban explotando activamente.

La vulnerabilidad fue descubierta por miembros de Bitcoin Red Team. Este grupo de desarrolladores utiliza modelos de IA para buscar a gran escala problemas de seguridad en software relacionado con Bitcoin. Solo esta semana, el grupo ya comunicó miles de posibles vulnerabilidades en cientos de proyectos.

Aun así, los atacantes llegaron a tiempo para explotar realmente la vulnerabilidad. Cuando BTCPay advirtió públicamente a los usuarios, los servidores vulnerables ya estaban siendo atacados y ya se habían robado bitcoin.

Por ese motivo, los detalles técnicos completos no se harán públicos de momento. BTCPay quiere dar primero a los administradores la oportunidad de actualizar y proteger sus sistemas. En los próximos días se publicará un informe más amplio, que probablemente aportará más claridad sobre el alcance y las consecuencias del ataque.