De aanval op verouderde Bitcoin-betaalservers blijkt terug te gaan op een kritiek lek dat al in augustus werd gedicht. Aanvallers gebruikten volgens BTCPay Server een andere methode om dezelfde kwetsbaarheid te misbruiken. Daardoor konden zij de beveiliging met een authenticatorapp omzeilen en online wallets leeghalen.
Alternatieve route sloeg beveiligingscode over
Het eerste CI-bericht meldde maandag dat aanvallers als beheerder op oude BTCPay-installaties waren binnengekomen. Toen was nog niet vastgesteld of de diefstallen rechtstreeks voortkwamen uit het lek dat in augustus was gedicht. BTCPay heeft die verbinding inmiddels wel bevestigd.
De fout zat niet in Bitcoin zelf, maar in de zogenoemde Greenfield API. Dat is een programmeerroute waarmee andere software opdrachten aan BTCPay kan geven. Bij een gewone login controleerde de server of een gebruiker na het wachtwoord ook een tweede code moest invoeren. De API keek echter alleen of iemand een fysieke beveiligingssleutel gebruikte. Accounts die een authenticatorapp als tweede stap hadden ingesteld, konden daardoor met alleen e-mailadres en wachtwoord de API gebruiken.
BTCPay dichtte het lek op 7 augustus in versie 2.4.2 en schakelde de betrokken inlogmethode daarna standaard uit. Het project noemde de kwetsbaarheid toen kritiek en actief misbruikt. Hoe de aanvallers bij de huidige slachtoffers aan geldige wachtwoorden kwamen, is nog niet bekendgemaakt.
Hardwarewallets bleven buiten bereik
De gevolgen hingen af van de manier waarop een ondernemer zijn crypto-wallet had ingericht. Bij een hot wallet stonden de sleutels voor het versturen van bitcoin of litecoin op de server zelf. Beheerderstoegang kon dan genoeg zijn om het geld weg te sturen.
Wallets waarvan de geheime sleutels op een apart apparaat stonden, waaronder hardwarewallets, zijn volgens de nieuwe incidentanalyse niet leeggehaald. Toch adviseert BTCPay iedere beheerder die op 1 november nog versie 2.4.1 of ouder gebruikte om een volledig nieuwe server en wallet aan te maken. Alleen updaten kan achtergebleven toegang, gestolen wachtwoorden of andere buitgemaakte sleutels niet ongedaan maken.
Hoeveel installaties zijn geraakt en hoeveel crypto is gestolen, blijft onbekend. BTCPay waarschuwt dat transacties naar de gemelde adressen niet allemaal aan deze aanval mogen worden toegeschreven.