BTCPay Server के समर्थकों ने हाल ही में लाइटनिंग वॉलेट एक्सप्लॉइट से प्राप्त धन के 10% के बराबर रिकवरी बाउंट का समर्थन किया है, जिसमें सभी चोरी की गई संपत्तियों की वसूली होने पर इनाम 3 BTC तक सीमित है।

BTCPay Server परियोजना ने सोमवार को कहा कि यह बाउंट एक गंभीर सुरक्षा खामी के जवाब का हिस्सा है जिसने कमजोर इंस्टॉलेशन पर LND एडमिनिस्ट्रेटर क्रेडेंशियल को उजागर कर दिया था, उपयोगकर्ताओं को तुरंत संस्करण 2.4.2 में अपग्रेड करने के लिए कहने के कुछ दिनों बाद।

ओपन-सोर्स बिटकॉइन पेमेंट प्रोसेसर ने यह खुलासा नहीं किया है कि कितनी क्रिप्टोकरेंसी चोरी हुई या कितने सर्वर प्रभावित हुए। हालांकि, फाउंडेशन और सिटाडेल21 सहित कई प्रभावित उपयोगकर्ताओं ने बताया है कि उनके लाइटनिंग नोड्स में रखे गए फंड खाली कर दिए गए थे।

BTCPay ने कहा कि यह भेद्यता संस्करण 2.4.2 से पहले के सभी रिलीज को प्रभावित करती थी, जिसमें 2.4.2 के रिलीज उम्मीदवार संस्करण भी शामिल थे। इस कमी ने एक हमलावर को उजागर किए गए BTCPay इंस्टेंसेस से LND एडमिन मैकरून क्रेडेंशियल प्राप्त करने और फिर प्रभावित लाइटनिंग नोड्स से जुड़े वॉलेट तक पहुंचने की अनुमति दी।

एक मैकरून लाइटनिंग नोड के लिए प्रमाणीकरण क्रेडेंशियल के रूप में काम करता है, जिसमें एक एडमिनिस्ट्रेटर मैकरून संबंधित वॉलेट पर व्यापक अनुमतियाँ प्रदान करता है। इसलिए, उन क्रेडेंशियल तक पहुंच एक अनधिकृत पार्टी को प्रभावित LND सेटअप के माध्यम से रखे गए फंड को नियंत्रित करने की अनुमति दे सकती है।

BTCPay Server एक्सप्लॉइट को संस्करण 2.4.2 में ठीक किया गया था

खोज के बाद, BTCPay ने भेद्यता के लिए एक फिक्स के साथ 2.4.2 का अंतिम संस्करण जारी किया और पुराने संस्करण चलाने वाले ऑपरेटरों से अपने सर्वर को अपडेट करने का आग्रह किया।

परियोजना ने कहा कि सुरक्षा समस्या LND क्रेडेंशियल के लिए विशिष्ट थी और उसी हमले के मार्ग के माध्यम से अन्य लाइटनिंग कार्यान्वयन चलाने वाले उपयोगकर्ताओं को उजागर नहीं करती थी। जो ऑपरेटर लाइटनिंग का उपयोग नहीं करते थे, वे भी LND क्रेडेंशियल समस्या से प्रभावित नहीं हुए थे, हालांकि BTCPay ने सभी उपयोगकर्ताओं को नवीनतम रिलीज स्थापित करने की सिफारिश की।

परियोजना के अनुसार, BTCPay के ऑनचेन वॉलेट भेद्यता के माध्यम से समझौता नहीं किए गए थे, जिसमें सॉफ्टवेयर के उपयोगकर्ताओं द्वारा बनाए गए ऑनचेन हॉट वॉलेट भी शामिल हैं।

यह भेद ज्ञात हमले के मार्ग को कनेक्टेड LND वॉलेट तक सीमित करता है, न कि बिटकॉइन फंड की पूरी श्रृंखला तक जिसे BTCPay इंस्टॉलेशन के माध्यम से प्रबंधित किया जा सकता है।

हालांकि BTCPay ने अभी तक नुकसान के आंकड़े जारी नहीं किए हैं, व्यक्तिगत उपयोगकर्ताओं की रिपोर्टों ने पुष्टि की है कि एक्सप्लॉइट के परिणामस्वरूप धन चोरी हुआ। परियोजना एक पूर्ण पोस्टमार्टम तैयार कर रही है जिससे भेद्यता और प्रतिक्रिया के बारे में अधिक जानकारी मिलने की उम्मीद है।

BTCPay ने कई बाहरी संगठनों की सहायता से मजबूत कोड-स्कैनिंग और समीक्षा प्रक्रियाएं भी शुरू की हैं।

यह प्रतिक्रिया क्रिप्टो सुरक्षा के लिए एक कठिन वर्ष के बाद आई है। अप्रैल में, crypto.news ने बताया कि CertiK ने 2026 के दौरान 600 मिलियन डॉलर से अधिक का क्रिप्टो नुकसान दर्ज किया था, जबकि सुरक्षा फर्म ने चेतावनी दी थी कि AI-सहायता प्राप्त हमले और बुनियादी ढांचे में कमजोरियां परियोजनाओं के लिए महत्वपूर्ण जोखिम बन रहे थे।

खामी खोजने के लिए शोधकर्ताओं को 0.42 BTC प्राप्त हुए

रिकवरी बाउंट के साथ, BTCPay Server फाउंडेशन उन शोधकर्ताओं को पुरस्कार दे रहा है जिन्होंने सार्वजनिक रूप से खुलासा होने से पहले भेद्यता की पहचान की थी।

फाउंडेशन स्पैरो वॉलेट डेवलपर क्रेग रॉ और बिटकॉइन रेड टीम फंड को प्रत्येक 0.21 BTC दान कर रहा है। रॉ ने सुरक्षा समस्या की खोज की और इसे निजी तौर पर BTCPay को रिपोर्ट किया, जिससे डेवलपर्स को इस कमी के विवरण सार्वजनिक होने से पहले एक फिक्स तैयार करने की अनुमति मिली।

रॉ ने बाद में कहा कि वह भी इस एक्सप्लॉइट से प्रभावित हुए थे।

बिटकॉइन रेड टीम एक स्वयंसेवी सुरक्षा अनुसंधान समूह के रूप में संचालित होती है जिसके सदस्यों में रॉब हैमिल्टन, कैले और इवान कालोउडिस शामिल हैं। यह समूह बिटकॉइन-संबंधित सॉफ्टवेयर को प्रभावित करने वाली कमजोरियों को खोजने और रिपोर्ट करने पर काम करता है।

दोनों शोधकर्ताओं को फंड देने का BTCPay का निर्णय परियोजना समर्थकों द्वारा समर्थित अलग रिकवरी बाउंट के साथ आता है। प्रस्तावित शर्तों के तहत, सफलतापूर्वक बरामद किए गए फंड का 10% बाउंट के रूप में भुगतान किया जा सकता है, जबकि पूरी वसूली पर अधिकतम 3 BTC का इनाम मिलेगा।

इस साल अन्य क्रिप्टो एक्सप्लॉइट के बाद रिकवरी प्रोत्साहन भी सामने आए हैं। जुलाई में, crypto.news ने देर-जून के एक्सप्लॉइट में 374 कार्डानो वॉलेट से लिए गए लगभग 16 मिलियन ADA को पुनर्प्राप्त करने के प्रयासों की जांच की। EMURGO ने प्रभावित संपत्तियों को वापस करने की एक प्रक्रिया की रूपरेखा तैयार की, जबकि एक स्वतंत्र फोरेंसिक टीम ने घटना की एक अलग जांच की।

AI ने BTCPay Server एक्सप्लॉइट को उजागर करने में मदद की हो सकती है

अपने प्रारंभिक आकलन के हिस्से के रूप में, BTCPay ने इस संभावना को उठाया कि कृत्रिम बुद्धिमत्ता उपकरणों ने कमजोर कोड को खोजने में भूमिका निभाई हो सकती है।

परियोजना ने कहा कि बेहतर AI मॉडल ने कमजोरियों के लिए बड़े सॉफ्टवेयर रिपॉजिटरी का निरीक्षण करने के लिए आवश्यक समय और लागत को कम कर दिया है, जिससे हमलावरों और सुरक्षा शोधकर्ताओं दोनों के लिए उपलब्ध क्षमताओं में बदलाव आया है।

BTCPay ने कहा कि बिटकॉइन सॉफ्टवेयर एक आकर्षक लक्ष्य प्रस्तुत करता है क्योंकि शोषक कमजोरियां संपत्तियों तक सीधी पहुंच प्रदान कर सकती हैं, यह कहते हुए कि सॉफ्टवेयर उद्योग के अन्य क्षेत्रों को अंततः समान समस्याओं का सामना करना पड़ सकता है क्योंकि AI-आधारित कोड विश्लेषण अधिक सक्षम हो जाता है।

AI-सहायता प्राप्त हमलों को लेकर चिंताएं क्रिप्टो क्षेत्र में पहले ही सामने आ चुकी थीं। CertiK ने जून में बताया कि मई के दौरान क्रिप्टो हैक्स और एक्सप्लॉइट के कारण 68.3 मिलियन डॉलर का नुकसान हुआ, जो अप्रैल में लगभग 650 मिलियन डॉलर से लगभग 90% कम था, लेकिन फर्म ने कोड रिपॉजिटरी और कोडिंग टूल्स को लक्षित करने वाले AI-सहायता प्राप्त मैलवेयर में भी वृद्धि दर्ज की, जैसा कि पहले crypto.news द्वारा कवर किया गया था।

AI सुरक्षा के जुलाई के विश्लेषण ने यह भी जांच की कि कैसे तेजी से सक्षम मॉडल सॉफ्टवेयर कमजोरियों की पहचान और शोषण कर सकते हैं, यह तकनीक एक ऐसे वर्ष के दौरान आई जब पहले से ही बड़े क्रिप्टो सुरक्षा घटनाओं का बोलबाला था।

BTCPay घटना मुख्य रूप से सोशल इंजीनियरिंग या समझौता किए गए हस्ताक्षर उपकरणों पर आधारित हमलों से भिन्न है क्योंकि प्रवेश बिंदु एक सॉफ्टवेयर भेद्यता थी जिसने संवेदनशील LND प्रमाणीकरण क्रेडेंशियल को उजागर किया था।

कोल्डकार्ड एक्सप्लॉइट ने इसी तरह की AI चिंताओं को उठाया

BTCPay हमले के बाद एक और बड़ी बिटकॉइन सुरक्षा घटना हुई जिसमें कोल्डकार्ड हार्डवेयर वॉलेट शामिल थे, जहां फंड चोरी होने के बाद पुराने कोड का निरीक्षण करने के लिए AI के संदिग्ध उपयोग का भी मुद्दा उठाया गया था।

अब तक कोल्डकार्ड एक्सप्लॉइट से कम से कम 116 मिलियन डॉलर का नुकसान होने की पुष्टि हुई है। कोल्डकार्ड के पीछे की कंपनी कॉइनकाइट ने कहा कि उसे यह संभावना लगती है कि किसी ने पुराने सार्वजनिक रूप से उपलब्ध फर्मवेयर की जांच करने और कमजोरी की पहचान करने के लिए AI का उपयोग किया था।

इन दोनों घटनाओं ने कोड समीक्षा पर बढ़ते ध्यान को आकर्षित किया है, ऐसे समय में जब हमलावर पहले ही पारंपरिक स्मार्ट कॉन्ट्रैक्ट कमजोरियों से आगे बढ़ चुके हैं।

अप्रैल में, crypto.news ने DefiLlama डेटा का हवाला देते हुए, पिछले दशक में 518 प्रलेखित क्रिप्टो हैक्स और एक्सप्लॉइट में 17 बिलियन डॉलर से अधिक के नुकसान की सूचना दी। रिपोर्ट में पाया गया कि निजी कुंजी लीक, क्रेडेंशियल चोरी, फ़िशिंग और वॉलेट और बुनियादी ढांचे के खिलाफ हमले स्मार्ट कॉन्ट्रैक्ट्स में खामियों के साथ-साथ नुकसान के प्रमुख स्रोत बन गए थे।

चेनैलिसिस ने अलग से अनुमान लगाया है कि हमलावरों ने 2026 के पहले छह महीनों के दौरान अवसत्यापित, क्लोज्ड-सोर्स स्मार्ट कॉन्ट्रैक्ट्स से 36.7 मिलियन डॉलर की चोरी की, अनुबंध बाइटकोड को डीकंपाइल करके। ब्लॉकचेन एनालिटिक्स फर्म ने आकलन किया कि इस गतिविधि में AI बहुत संभवतः शामिल था।

BTCPay उपयोगकर्ताओं के लिए, तत्काल सुधार आधिकारिक 2.4.2 रिलीज ही है। परियोजना ने कहा है कि वह एक्सप्लॉइट पर एक अधिक विस्तृत पोस्टमार्टम प्रकाशित करेगी, जबकि इसकी नई कोड-स्कैनिंग और समीक्षा प्रक्रियाएं बाहरी संगठनों के साथ विकसित की जा रही हैं।