BTCPay Server Назначает Награду До 3 BTC за Возврат Похищенных Средств
Платежный сервер BTCPay Server официально анонсировал программу вознаграждения для тех, кто поможет вернуть активы, похищенные в ходе недавней атаки на Lightning-узлы. Инцидент, вскрывший критическую уязвимость в коде, заставил команду пойти на нестандартные меры.
Условия и масштаб вознаграждения
Согласно моему анализу, механика бонуса выглядит следующим образом: выплата составит 10% от суммы возвращенных средств, но с жестким потолком в 3 BTC (примерно $190 000). Примечательно, что финансирование обеспечивают не сами разработчики, а анонимные «друзья и сторонники» проекта. Это подчеркивает, насколько серьезным оказался удар по репутации и инфраструктуре.
К участию приглашаются все, кто обладает любой информацией, способной привести к возврату монет — включая самих злоумышленников. В случае коллективного вклада, награда будет разделена пропорционально значимости данных и объему восстановленных средств, по согласованию с потерпевшими сторонами.
Дополнительные выплаты и реакция сообщества
Помимо основной награды, фонд BTCPay Server Foundation выделит по 0,21 BTC разработчику Sparrow Wallet Крейгу Роу и волонтерской группе Bitcoin Red Team. Эти средства — признательность за «ответственное раскрытие» уязвимости. Суммы скромные, но это осознанный шаг, учитывая некоммерческий статус BTCPay как FOSS-проекта.
Технические детали и последствия
Важно подчеркнуть: атака затронула исключительно связки с LND, ончейн-кошельки остались нетронутыми. В версии 2.4.2 уже отключен публичный доступ к API LND на Docker-сборках. Внешние кошельки, такие как Zeus, временно не смогут подключаться через домен BTCPay или onion-адрес — доступ вернут только после полной проверки безопасности.
Команда сейчас сосредоточена на патчах и усилении код-ревью с привлечением внешних аудиторов. Они изучают отчеты Bitcoin Red Team, Project Loupe и Magic Grants. Масштаб потерь и число затронутых узлов до сих пор не раскрыты, что вызывает вопросы у сообщества. Полный разбор инцидента обещают опубликовать позже.
Мой экспертный взгляд
Ситуация с BTCPay — тревожный звонок для всей индустрии. Разработчики справедливо связывают рост атак с ИИ, который радикально удешевляет поиск уязвимостей. Однако, на мой взгляд, ставка на краудсорсинг и вознаграждения — это паллиатив. Критически важно, чтобы проекты пересмотрели свои модели безопасности еще на этапе архитектуры, а не реагировали постфактум. Иначе мы будем наблюдать повторение подобных инцидентов с пугающей регулярностью.