ทีมพัฒนา BTCPay Server ซอฟต์แวร์รับชำระเงินด้วย Bitcoin (BTC) แบบไม่ผ่านตัวกลาง ออกประกาศเตือนผู้ดูแลระบบให้ระงับการทำงานของเซิร์ฟเวอร์ทันที หลังได้รับรายงานว่า มีบุคคลภายนอกสามารถถอนเงินจาก Hot Wallet โดยไม่ได้
รับอนุญาต พร้อมสั่งให้ผู้ใช้งานหยุดระบบชั่วคราวจนกว่าการตรวจสอบจะเสร็จสิ้น
วันนี้ทีมพัฒนาเปิดเผยผ่านบัญชี X อย่างเป็นทางการโดยระบุว่า หากใครกำลังใช้งาน BTCPay Server อยู่ ให้หยุดการทำงานของระบบทันที พร้อมแนะนำให้รันคำสั่ง ./btcpay-down.sh เพื่อปิดเซิร์ฟเวอร์
ขณะนี้ทีมพัฒนายังไม่ได้เปิดเผยว่า มีเงินสูญหายไปเท่าไร มีเซิร์ฟเวอร์ได้รับผลกระทบกี่แห่ง หรือช่องโหว่เกิดจากสาเหตุใด นอกจากนี้ คำเตือนดังกล่าวยังครอบคลุมการใช้งานทุกเวอร์ชัน โดยยังไม่มีการประกาศปล่อยอัปเดตเพื่อแก้ไขปัญหาอย่างเป็นทางการ
Hot Wallet บนเซิร์ฟเวอร์เสี่ยงถูกดูดเงิน หลังพบการถอนโดยไม่ได้รับอนุญาต
ประเด็นสำคัญของเหตุการณ์นี้อยู่ที่ Hot Wallet ซึ่งเป็นกระเป๋าเงินที่เก็บ Private Key ไว้บนเซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ต ทำให้ระบบสามารถลงนามธุรกรรมและดำเนินการต่าง ๆ เช่น การคืนเงินให้ลูกค้าได้โดยอัตโนมัติ
อย่างไรก็ตาม การเก็บ Private Key ไว้บนเซิร์ฟเวอร์ก็ทำให้กระเป๋าเงินประเภทนี้มีความเสี่ยง หากผู้ไม่หวังดีสามารถเจาะระบบเข้าถึงเซิร์ฟเวอร์ได้ ก็อาจเข้าถึงกลไกที่ใช้อนุมัติธุรกรรมและถอนเงินออกไปได้เช่นกัน
ทั้งนี้ BTCPay Server เป็นซอฟต์แวร์แบบ Open-source ที่เปิดให้ร้านค้าและผู้ประกอบการติดตั้งระบบรับชำระ Bitcoin บนเซิร์ฟเวอร์ของตัวเอง โดยไม่ต้องพึ่งพาตัวกลางรับชำระเงิน ทำให้ผู้ใช้งานแต่ละรายต้องดูแลความปลอดภัยและอัปเดตระบบด้วยตัวเอง
โครงสร้างดังกล่าวยังทำให้ทีมพัฒนาไม่สามารถสั่งปิดหรือส่งอัปเดตแก้ไขไปยังเซิร์ฟเวอร์ทุกแห่งได้พร้อมกัน การระงับระบบและติดตั้งเวอร์ชันแก้ไขจึงขึ้นอยู่กับผู้ดูแลเซิร์ฟเวอร์แต่ละราย
เคยพบช่องโหว่ LND เมื่อเดือน ส.ค. ก่อนเพิ่งปล่อยอัปเดตฉุกเฉิน 2.4.7
เหตุการณ์ครั้งนี้เกิดขึ้นหลัง BTCPay Server เพิ่งปล่อยเวอร์ชันฉุกเฉิน 2.4.7 เมื่อวันที่ 29 ตุลาคมที่ผ่านมา เพื่อแก้ไขช่องโหว่ระดับรุนแรง 1 รายการ และช่องโหว่ระดับปานกลางอีกหลายรายการ อย่างไรก็ตาม ทีมพัฒนายังไม่ได้ยืนยันว่าการอัปเดตดังกล่าวเกี่ยวข้องกับเหตุเงินรั่วไหลครั้งล่าสุดหรือไม่
ก่อนหน้านี้ในเดือนสิงหาคม BTCPay Server เคยเผชิญเหตุโจมตีจากช่องโหว่ในซอฟต์แวร์เวอร์ชันก่อน 2.4.2 ซึ่งเปิดทางให้ผู้ไม่หวังดีขโมยข้อมูลยืนยันตัวตนของ LND หรือ Lightning Network Daemon ซอฟต์แวร์ที่ใช้รัน Lightning Node ส่งผลให้เงินทุนใน Lightning Node ที่เชื่อมต่อกับ BTCPay Server ถูกขโมยออกไป
ในเวลานั้น ทีมพัฒนาชี้แจงว่า ช่องโหว่ดังกล่าวไม่ส่งผลกระทบต่อกระเป๋าเงิน Bitcoin แบบ On-chain รวมถึง Hot Wallet ที่สร้างขึ้นภายใน BTCPay Server
แต่รายงานล่าสุดกลับระบุว่า เงินที่สูญหายมาจาก Hot Wallet โดยตรง ทำให้เหตุการณ์ครั้งนี้เป็นประเด็นที่ต้องจับตาอย่างใกล้ชิด เนื่องจากเป็นกระเป๋าเงินประเภทที่ทีมพัฒนาเคยระบุว่าไม่ได้รับผลกระทบจากช่องโหว่เมื่อเดือนสิงหาคม
มุมมองผู้เขียน: สิ่งที่น่ากังวลในเหตุการณ์นี้คือ BTCPay Server เป็นระบบที่ออกแบบมาให้ผู้ใช้งานควบคุมเงินและโครงสร้างพื้นฐานของตัวเองโดยไม่ต้องพึ่งตัวกลาง แต่หากเซิร์ฟเวอร์ที่ใช้เก็บ Private Key ถูกแฮก ความได้เปรียบด้านการควบคุมเงินก็อาจกลายเป็นความเสี่ยงได้เช่นกัน
