Nag-aalok ang mga tagasuporta ng BTCPay Server ng 10% ng anumang pondong narekober, na may cap na 3 BTC na kasalukuyang nagkakahalaga ng humigit-kumulang $190,000, kung maibabalik ang lahat ng Bitcoin na ninakaw sa isang kamakailang exploit.

Sa isang post sa X noong Lunes, sinabi ng BTCPay na ang alok ay para sa sinuman na may impormasyon na makakatulong sa pagbawi ng mga pondo, kasama na ang mismong attacker.

"Susuriin namin ang aming mga pagkakamali, ngunit ang pagsisisi lamang ay hindi makakatulong sa mga apektadong user o makatitiyak ng seguridad ng proyekto," isinulat ng kumpanya. "Walang oras na dapat sayangin. Kailangan nating matuto, pagbutihin, at kumilos kaagad."

Unang binalaan ng BTCPay ang mga user tungkol sa mga pag-atake noong Biyernes, na naghihikayat sa kanila na mag-install ng bagong bersyon, 2.4.2, o i-offline ang kanilang mga server. Sa panahong iyon, hindi pa nakumpirma ng proyekto ang anumang pagnanakaw o naipaliwanag kung paano gumana ang exploit.

Ayon sa BTCPay, pinahintulutan ng flaw ang mga attacker na makakuha ng LND admin macaroons—mga kredensyal na nagbibigay ng malawak na kontrol sa isang Lightning Network node—at gamitin ang mga ito upang ma-access ang mga konektadong wallet. Ang Lightning Network ay isang layer-2 na network ng pagbabayad na binuo sa Bitcoin blockchain na nagbibigay-daan sa mas mabilis at mas murang transaksyon. Iruruta ng mga Lightning Network node ang mga pagbabayad sa pamamagitan ng mga channel sa pagitan ng mga user.

Hindi pa inilalabas ng BTCPay kung gaano karaming Bitcoin ang ninakaw, kung gaano karaming user ang naapektuhan, o kung mayroon nang mga pondong narekober.

Kung maraming tip ang makakatulong sa pagbawi ng mga pondo, ang bounty ay hahatiin sa koordinasyon sa mga biktima. Sinabi ng proyekto na isasaalang-alang nito ang mga pagkalugi ng bawat biktima, ang halagang narekober, at ang pagiging kapaki-pakinabang ng bawat tip.

Magdo-donate din ang BTCPay Server Foundation ng 0.21 BTC bawat isa sa security researcher na si Craig Raw at sa pondo ng Bitcoin Red Team para sa responsableng paglalantad ng vulnerability.

"Ang mga ito ay katamtamang kontribusyon, ngunit ito ang maiaalok namin bilang isang FOSS project at isang paraan upang pahalagahan ang mga taong gumagawa ng kritikal na gawain sa seguridad, na tumutulong sa buong ecosystem," isinulat ng BTCPay.

Sinabi ng kumpanya na pinapalakas nito ang mga code review at inuuna ang security patches kaysa sa mga bagong feature dahil pinapadali ng AI para sa mga attacker na makahanap ng mga vulnerability sa software ng Bitcoin.

"Ang pagtatanggol sa software sa kapaligirang ito ay nangangailangan ng mas mahusay na mga tool, mas masusing pagsusuri, mas mabilis na pagtugon sa seguridad, at suporta para sa mga mananaliksik na nakakahanap at responsableng nag-uulat ng mga vulnerability," isinulat ng BTCPay.