BTCPay Server назначает награду до 3 BTC за возврат похищенных средств после взлома Lightning-узлов
10 августа BTCPay Server официально объявил о запуске программы вознаграждения за содействие в возврате активов, похищенных злоумышленниками с Lightning-узлов через критическую уязвимость в программном обеспечении. Речь идет о 10% от восстановленной суммы, но с жестким потолком — максимум 3 BTC (около $190 000) при полном возврате средств. Финансирование обеспечивают анонимные спонсоры и партнеры проекта, которых команда деликатно называет «друзьями и сторонниками» BTCPay Server.
Условия и детали вознаграждения
Предложение адресовано любому, кто обладает информацией, способной привести к возврату монет, включая самих хакеров. Если в успешной операции участвуют несколько человек, выплата будет распределена пропорционально их вкладу, с учетом масштаба ущерба для каждой жертвы и практической ценности предоставленных данных. Это разумный подход, который стимулирует сотрудничество даже внутри групп атакующих — классический механизм «приз за предательство».
Параллельно BTCPay Server Foundation выделил по 0,21 BTC разработчику Sparrow Wallet Крейгу Роу и волонтерской группе Bitcoin Red Team за «ответственное раскрытие уязвимости». Суммы скромные, но проект подчеркивает: будучи некоммерческим FOSS-проектом, он не может позволить себе щедрые bug bounty, как крупные корпорации.
Масштаб инцидента и реакция
Команда до сих пор не раскрыла ни общий объем потерь, ни количество затронутых узлов — полный технический разбор обещают опубликовать позже. Известно, что атака затронула исключительно связки с LND, ончейн-кошельки остались нетронутыми. В версии 2.4.2 уже отключен публичный доступ к API LND на Docker-сборках, из-за чего внешние кошельки вроде Zeus временно не подключаются через домен BTCPay или onion-адрес.
Пострадавшим рекомендовано немедленно обращаться в правоохранительные органы и сервисы, куда могли поступить украденные средства. Разработчики отмечают, что уже получили помощь от служб безопасности бирж, блокчейн-аналитиков и государственных структур.
Угроза ИИ и будущее безопасности
В BTCPay связывают рост числа атак с распространением искусственного интеллекта. Модели делают поиск уязвимостей в больших кодовых базах быстрее и дешевле, смещая баланс сил в пользу атакующих. «Биткоин-проекты — самая лакомая цель, но и остальному софту не избежать той же участи», — предупреждают в проекте. Это тревожный сигнал для всей индустрии: традиционные методы аудита уже не поспевают за скоростью автоматизированных атак.
Мой анализ: Ситуация с BTCPay — яркий пример новой реальности, где ИИ-инструменты превращают поиск уязвимостей в индустрию с низким порогом входа. Выплата в 3 BTC — это не только попытка вернуть средства, но и стратегический шаг: проект пытается перехватить инициативу у хакеров, создавая экономический стимул для «белых» исследователей. Однако, пока команда не раскрывает масштаб потерь, доверие пользователей к Lightning-инфраструктуре остается под вопросом. Инцидент вновь подтверждает: даже самые зрелые open-source проекты уязвимы, а холодное хранение — по-прежнему золотой стандарт.