دعم مؤيدو خادم BTCPay مكافأة استرداد تعادل 10% من الأموال المستردة من استغلال حديث لمحفظة لايتنينغ، بحد أقصى للمكافأة يبلغ 3 بيتكوين إذا تم استرداد جميع الأصول المسروقة.
قال مشروع خادم BTCPay يوم الاثنين إن المكافأة هي جزء من استجابته لثغرة أمنية حرجة كشفت عن بيانات اعتماد المسؤول لـ LND في التثبيتات المعرضة للخطر، بعد أيام من مطالبة المستخدمين بالترقية فوراً إلى الإصدار 2.4.2.
لم يكشف معالج مدفوعات البيتكوين مفتوح المصدر عن كمية العملات المشفرة التي سُرقت أو عدد الخوادم التي تعرضت للاختراق. ومع ذلك، أفاد العديد من المستخدمين المتأثرين، بما في ذلك Foundation و Citadel21، بأن الأموال المحتجزة في عقد لايتنينغ الخاصة بهم قد تم سحبها.
قالت BTCPay إن الثغرة الأمنية أثرت على جميع الإصدارات قبل الإصدار 2.4.2، بما في ذلك إصدارات المرشح للإصدار 2.4.2. سمحت الثغرة للمهاجم بالحصول على بيانات اعتماد ماكارون الإداري لـ LND من مثيلات BTCPay المكشوفة ثم الوصول إلى المحافظ المتصلة بعقد لايتنينغ المتأثرة.
يعمل الماكارون كبيانات اعتماد للمصادقة لعقدة لايتنينغ، حيث يوفر ماكارون المسؤول صلاحيات واسعة على المحفظة المرتبطة. لذلك، يمكن أن يسمح الوصول إلى تلك البيانات لطرف غير مصرح له بالتحكم في الأموال المحتجزة من خلال إعداد LND المتأثر.
بعد الاكتشاف، أصدرت BTCPay الإصدار النهائي 2.4.2 مع إصلاح للثغرة الأمنية وحثت المشغلين الذين يستخدمون إصدارات أقدم على تحديث خوادمهم.
قال المشروع إن المشكلة الأمنية كانت خاصة ببيانات اعتماد LND ولم تكشف المستخدمين الذين يشغلون تطبيقات لايتنينغ أخرى من خلال نفس مسار الهجوم. لم يتأثر المشغلون الذين لا يستخدمون لايتنينغ أيضًا بمشكلة بيانات اعتماد LND، على الرغم من أن BTCPay أوصت جميع المستخدمين بتثبيت أحدث إصدار.
لم تتعرض محافظ BTCPay على السلسلة للاختراق من خلال الثغرة الأمنية، بما في ذلك المحافظ الساخنة على السلسلة التي يحتفظ بها مستخدمو البرنامج، وفقًا للمشروع.
يحد هذا التمييز من مسار الهجوم المعروف على محافظ LND المتصلة بدلاً من النطاق الكامل لأموال البيتكوين التي يمكن إدارتها من خلال تثبيت BTCPay.
على الرغم من أن BTCPay لم تصدر بعد أرقامًا للخسائر، فقد أكدت تقارير من مستخدمين فرديين أن الاستغلال أدى إلى سرقة أموال. يعد المشروع تقريرًا مفصلاً لما بعد الحادث يتوقع أن يقدم مزيدًا من المعلومات حول الثغرة الأمنية والاستجابة.
بدأت BTCPay أيضًا في إدخال إجراءات أقوى لمسح ومراجعة الكود بمساعدة من عدة منظمات خارجية.
تأتي الاستجابة بعد عام صعب لأمن العملات المشفرة. في أبريل، أفاد موقع crypto.news أن CertiK سجلت أكثر من 600 مليون دولار من خسائر العملات المشفرة خلال عام 2026 في ذلك الوقت، بينما حذرت شركة الأمن من أن الهجمات المدعومة بالذكاء الاصطناعي ونقاط الضعف في البنية التحتية أصبحت مخاطر مهمة للمشاريع.
إلى جانب مكافأة الاسترداد، تدفع مؤسسة خادم BTCPay مكافآت للباحثين الذين حددوا الثغرة الأمنية قبل الكشف عنها علنًا.
تتبرع المؤسسة بـ 0.21 بيتكوين لكل من مطور محفظة Sparrow Wallet كريغ رو (Craig Raw) وصندوق فريق البيتكوين الأحمر (Bitcoin Red Team). اكتشف رو المشكلة الأمنية وأبلغ عنها سراً إلى BTCPay، مما سمح للمطورين بإعداد إصلاح قبل أن تصبح تفاصيل الثغرة علنية.
قال رو لاحقًا إنه قد تأثر هو أيضًا بالاستغلال.
يعمل فريق البيتكوين الأحمر كمجموعة بحث أمني تطوعية يضم أعضاؤها روب هاميلتون، وكالي، وإيفان كالوديس. تعمل المجموعة على إيجاد نقاط الضعف التي تؤثر على برامج البيتكوين والإبلاغ عنها.
يأتي قرار BTCPay بتمويل كلا الباحثين جنبًا إلى جنب مع مكافأة الاسترداد المنفصلة التي يدعمها مؤيدو المشروع. بموجب الشروط المقترحة، يمكن دفع 10% من الأموال المستردة بنجاح كمكافأة، بينما يحمل الاسترداد الكامل مكافأة قصوى قدرها 3 بيتكوين.
ظهرت حوافز الاسترداد أيضًا بعد استغلالات أخرى للعملات المشفرة هذا العام. في يوليو، فحص موقع crypto.news الجهود المبذولة لاسترداد ما يقرب من 16 مليون ADA تم سحبها من 374 محفظة كاردانو في استغلال حدث أواخر يونيو. حددت EMURGO عملية لإعادة الأصول المتأثرة بينما أجرى فريق تحليلي جنائي مستقل تحقيقًا منفصلاً في الحادث.
كجزء من تقييمها الأولي، أثارت BTCPay إمكانية أن تكون أدوات الذكاء الاصطناعي قد لعبت دورًا في العثور على الكود الضعيف.
قال المشروع إن نماذج الذكاء الاصطناعي المحسّنة قد قللت من الوقت والتكلفة اللازمين لفحص مستودعات البرامج الكبيرة بحثًا عن نقاط الضعف، مما يغير القدرات المتاحة لكل من المهاجمين وباحثي الأمن.
يمثل برنامج البيتكوين هدفًا جذابًا لأن نقاط الضعف القابلة للاستغلال يمكن أن توفر وصولاً مباشرًا إلى الأصول، وقالت BTCPay إن مجالات أخرى من صناعة البرمجيات قد تواجه في النهاية مشاكل مماثلة مع تزايد قدرة تحليل الكود القائم على الذكاء الاصطناعي.
كانت المخاوف بشأن الهجمات المدعومة بالذكاء الاصطناعي قد ظهرت بالفعل في أماكن أخرى في قطاع العملات المشفرة. أفادت CertiK في يونيو أن هجمات واختراقات العملات المشفرة تسببت في خسائر بقيمة 68.3 مليون دولار خلال مايو، بانخفاض يقارب 90% عن حوالي 650 مليون دولار في أبريل، لكن الشركة سجلت أيضًا زيادة في البرمجيات الخبيثة المدعومة بالذكاء الاصطناعي التي تستهدف مستودعات الكود وأدوات البرمجة، كما غطت crypto.news سابقًا.
فحص تحليل في يوليو لأمن الذكاء الاصطناعي أيضًا كيف يمكن للنماذج ذات القدرة المتزايدة تحديد واستغلال نقاط الضعف في البرامج، مع وصول التكنولوجيا خلال عام سيطرت عليه بالفعل حوادث أمنية كبيرة للعملات المشفرة.
يختلف حادث BTCPay عن الهجمات التي تعتمد بشكل أساسي على الهندسة الاجتماعية أو أجهزة التوقيع المخترقة لأن نقطة الدخول كانت ثغرة أمنية في البرنامج كشفت عن بيانات اعتماد مصادقة LND حساسة.
تبع هجوم BTCPay حادث أمني كبير آخر للبيتكوين يتعلق بمحافظ أجهزة Coldcard، حيث أثير أيضًا الاشتباه في استخدام الذكاء الاصطناعي لفحص الكود القديم بعد سرقة الأموال.
تأكدت خسائر لا تقل عن 116 مليون دولار من استغلال Coldcard حتى الآن. قالت Coinkite، الشركة التي تقف وراء Coldcard، إنها تعتبر من المحتمل أن شخصًا ما استخدم الذكاء الاصطناعي لفحص البرامج الثابتة القديمة المتاحة للجمهور وتحديد نقطة الضعف.
لقد سلط الحادثان الضوء على مراجعة الكود بشكل متزايد في وقت تجاوز فيه المهاجمون بالفعل ثغرات العقود الذكية التقليدية.
في أبريل، أفاد موقع crypto.news عن أكثر من 17 مليار دولار خسرت عبر 518 هجمة واختراقًا موثقًا للعملات المشفرة على مدى العقد الماضي، مستشهدًا ببيانات DefiLlama. وجد التقرير أن تسرب المفاتيح الخاصة، وسرقة بيانات الاعتماد، والتصيد الاحتيالي، والهجمات ضد المحافظ والبنية التحتية أصبحت مصادر رئيسية للخسائر إلى جانب العيوب في العقود الذكية.
قدرت Chainalysis بشكل منفصل أن المهاجمين سرقوا 36.7 مليون دولار من عقود ذكية غير موثقة ومغلقة المصدر خلال الأشهر الستة الأولى من عام 2026 عن طريق تفكيك كود العقد الثانوي. قدرت شركة تحليلات البلوك تشين أن الذكاء الاصطناعي كان متورطًا بشكل كبير في هذا النشاط.
بالنسبة لمستخدمي BTCPay، يظل العلاج الفوري هو الإصدار الرسمي 2.4.2. قال المشروع إنه سينشر تقريرًا مفصلاً لما بعد الحادث حول الاستغلال بينما يتم تطوير إجراءات فحص ومراجعة الكود الجديدة بالتعاون مع منظمات خارجية.
