BTCPay Server Lightning-түйіндеріне жасалған шабуылдан кейін ұрланған қаражатты қайтару үшін 3 BTC-ге дейін сыйақы тағайындайды.
10 тамызда BTCPay Server командасы Lightning-түйіндерінен бағдарламалық қамтамасыздағыдағы критикалық осалдық арқылы ұрланған активтерді қайтаруға бағытталған сыйақы бағдарламасын ресми жариялады. Бұл коммерциялық емес жоба үшін теңдесі жоқ қадам, ол оқиғаның маңыздылығын және қоғамдастық сенімін қалпына келтіруге деген ұмтылысты көрсетеді.
Сыйақы шарттары мен механизмі
Менің талдауым бойынша, төлем құрылымы келесідей: сыйақы қайтарылған соманың 10% құрайды, алайда оның максималды мөлшері 3 BTC-мен шектелген — бұл жариялау кезінде шамамен $190 000. Айта кету керек, төлем тек ұрланған монеталар толық өтелген жағдайда ғана кепілдендіріледі. Қаржыландыруды жобаның анонимді демеушілері мен серіктестері қамтамасыз етеді, оларды ресми мәлімдемеде BTCPay Server-дің «достары мен қолдаушылары» деп атаған.
Маңызды нюанс: ұсыныс қаражатты қайтаруға әкелетін ақпаратқа ие кез келген адамға, соның ішінде шабуылдаушының өзіне де бағытталған. Егер бірнеше адам жағдайды шешуге үлес қосса, сыйақы олардың арасында пропорционалды түрде бөлінеді. Бағалау критерийлеріне әрбір зардап шеккеннің шығын ауқымы, қайтарылған қаражат үлесі және берілген мәліметтердің практикалық маңыздылығы кіреді.
Қосымша төлемдер және экожүйенің реакциясы
Негізгі сыйақыдан басқа, BTCPay Server Foundation Sparrow Wallet әзірлеушісі Крейг Роуға және Bitcoin Red Team еріктілер тобына 0,21 BTC-ден бөлді. Бұл қаражат — олардың «осалдықты жауапты түрде ашуын» мойындау. Жобада сомалар қарапайым болып көрінуі мүмкін екенін адал мойындады, бірақ бұл BTCPay-дің FOSS-жоба ретіндегі коммерциялық емес мәртебесіне байланысты.
Менің бағалауымша, мұндай қадам тәсілдің жетілгендігін көрсетеді: команда тек залалды азайтуға тырысып қана қоймай, қауіпсіздік зерттеушілерімен белсенді қарым-қатынас орнатуда, бұл қазіргі жағдайда өте маңызды.
Техникалық мәліметтер мен ұсыныстар
Әзірлеушілер шабуыл тек LND байланыстарына әсер еткенін, ал ончейн-әмияндар қол тимегенін нақтылады. 2.4.2 нұсқасында Docker-құрастырылымдарындағы LND API-ге қоғамдық қолжетімділік уақытша өшірілді — бұл Zeus сияқты сыртқы әмияндар әзірге BTCPay домені немесе onion-мекенжайы арқылы қосыла алмайды дегенді білдіреді. Қолжетімділік толық қауіпсіздік тексеруінен кейін ғана қайтарылады.
Зардап шеккендерге жергілікті құқық қорғау органдарына және ұрланған монеталар түсуі мүмкін сервистерге жүгіну қатты ұсынылады. Айта кету керек, биржалардың қауіпсіздік қызметтері, блокчейн-аналитика және мемлекеттік құрылымдар көмек ұсынған. Алайда оқиғаның ауқымы — шығын сомасы мен зардап шеккен түйіндер саны — әлі ашылмаған, толық талдау кейінірек жарияланатыны уәде етілген.
Болашаққа сараптамалық көзқарас
Команда патчтар мен сыртқы аудиторларды тарта отырып, код-ревьюді күшейтуге назар аударып, Bitcoin Red Team, Project Loupe және Magic Grants есептерін зерттеуде. Пайдаланушыларға қаражатты суық әмияндарда ұстауға кеңес беріледі. Жобада тәсілдің өзгеруін ЖИ-дің таралуымен байланыстырады: модельдер осалдықтарды іздеуді жылдам әрі арзан етеді, бұл көптеген платформаларды оңай нысанаға айналдырады.
«Жасанды интеллект күштер тепе-теңдігін өзгертеді: шабуылдаушылар артықшылық алады. Модельдер ақылдырақ бола түсуде, ал үлкен код базаларынан олқылықтарды табу енді арзанырақ және жылдамырақ. Биткоин-жобалар — ең тартымды нысана, бірақ қалған бағдарламалық қамтамасыз да сол тағдырдан құтылмайды», — деп атап өтілген BTCPay мәлімдемесінде.
Coldcard-тың жақындағы бұзылуы аясында Ledger-дің техникалық директоры Шарль Гийме биткоин сақтау құрылғыларындағы кездейсоқтық генераторларын тексеруді қайта қарау қажеттігін айтқан болатын. Бұл менің көптен бергі ұстанымымды растайды: индустрия проактивті қауіпсіздік сән-салтанат емес, өмір сүрудің жалғыз жолы болатын кезеңге енуде. BTCPay сыйақы ұсынып, зерттеушілердің рөлін мойындай отырып, дұрыс үн қалыптастыруда, бірақ нарыққа ЖИ-шабуылдарға қарсы тұру үшін әлдеқайда жүйелі өзгерістер қажет болады.