BTCPay Server ұрланған қаражатты қайтару үшін 3 BTC-ге дейін сыйақы тағайындайды
BTCPay Server төлем сервері жақында Lightning-түйіндеріне жасалған шабуыл кезінде ұрланған активтерді қайтаруға көмектесетіндерге сыйақы бағдарламасын ресми түрде жариялады. Кодтағы маңызды осалдықты ашқан оқиға команданы стандартты емес шараларға баруға мәжбүр етті.
Сыйақы шарттары мен ауқымы
Менің талдауым бойынша, бонус механизмі келесідей: төлем қайтарылған қаражат сомасының 10% құрайды, бірақ қатаң шектеу — 3 BTC (шамамен $190 000). Айта кету керек, қаржыландыруды әзірлеушілердің өздері емес, жобаның анонимді «достары мен қолдаушылары» қамтамасыз етеді. Бұл бедел мен инфрақұрылымға соққының қаншалықты ауыр болғанын көрсетеді.
Монеталардың қайтарылуына әкелетін кез келген ақпаратқа ие барлық адамдар — соның ішінде шабуылдаушылардың өздері де — қатысуға шақырылады. Ұжымдық үлес болған жағдайда, сыйақы деректердің маңыздылығы мен қайтарылған қаражат көлеміне пропорционалды түрде, зардап шеккен тараптармен келісім бойынша бөлінеді.
Қосымша төлемдер мен қоғамдастық реакциясы
Негізгі сыйақыдан басқа, BTCPay Server Foundation қоры Sparrow Wallet әзірлеушісі Крейг Роуға және Bitcoin Red Team еріктілер тобына 0,21 BTC-ден бөледі. Бұл қаражат — осалдықты «жауапты түрде ашқаны» үшін алғыс. Сомалар қарапайым, бірақ бұл BTCPay-дің FOSS-жоба ретіндегі коммерциялық емес мәртебесін ескере отырып, саналы қадам.
Техникалық мәліметтер мен салдарлар
Атап өту маңызды: шабуыл тек LND байланыстарына әсер етті, ончейн-әмияндар қол тимеген күйінде қалды. 2.4.2 нұсқасында Docker-құрастырмалардағы LND API-ге қоғамдық қолжетімділік қазірдің өзінде өшірілген. Zeus сияқты сыртқы әмияндар уақытша BTCPay домені немесе onion-мекенжайы арқылы қосыла алмайды — қолжетімділік толық қауіпсіздік тексеруінен кейін ғана қайтарылады.
Команда қазір патчтар мен сыртқы аудиторларды тарта отырып, код-ревьюді күшейтуге назар аударып отыр. Олар Bitcoin Red Team, Project Loupe және Magic Grants есептерін зерттеп жатыр. Шығын ауқымы мен зардап шеккен түйіндер саны әлі ашылған жоқ, бұл қоғамдастықта сұрақтар туғызады. Оқиғаның толық талдауын кейінірек жариялауға уәде берілді.
Менің сараптамалық көзқарасым
BTCPay жағдайы — бүкіл индустрия үшін дабыл қоңырауы. Әзірлеушілер шабуылдардың өсуін осалдықтарды іздеуді түбегейлі арзандатқан жасанды интеллектпен дұрыс байланыстырады. Алайда, менің ойымша, краудсорсинг пен сыйақыларға сену — паллиатив. Жобалардың қауіпсіздік үлгілерін архитектура кезеңінде қайта қарауы өте маңызды, ал фактіден кейін әрекет ету емес. Әйтпесе, біз мұндай оқиғалардың қорқынышты тұрақтылықпен қайталануын байқаймыз.