Pendukung BTCPay Server menawarkan 10% dari setiap dana yang berhasil dipulihkan, dengan batas maksimal 3 BTC yang saat ini bernilai sekitar $190.000, jika semua Bitcoin yang dicuri dalam eksploitasi baru-baru ini dikembalikan.
Dalam sebuah postingan di X pada hari Senin, BTCPay mengatakan tawaran tersebut berlaku untuk siapa saja yang memiliki informasi yang dapat membantu memulihkan dana, termasuk penyerang.
“Kami akan meninjau kesalahan kami, tetapi penyesalan saja tidak akan membantu pengguna yang terkena dampak atau mengamankan proyek,” tulis perusahaan itu. “Tidak ada waktu untuk disia-siakan. Kami harus belajar, meningkatkan, dan bertindak cepat.”
BTCPay pertama kali memperingatkan pengguna tentang serangan tersebut pada hari Jumat, mendesak mereka untuk menginstal versi baru, 2.4.2, atau menonaktifkan server mereka. Saat itu, proyek tersebut belum mengkonfirmasi adanya pencurian atau menjelaskan bagaimana eksploitasi tersebut bekerja.
Menurut BTCPay, kelemahan tersebut memungkinkan penyerang memperoleh macaroon admin LND—kredensial yang memberikan kontrol luas atas node Lightning Network—dan menggunakannya untuk mengakses dompet yang terhubung. Lightning Network adalah jaringan pembayaran layer-2 yang dibangun di atas blockchain Bitcoin yang memungkinkan transaksi lebih cepat dan lebih murah. Node Lightning Network merutekan pembayaran melalui saluran antar pengguna.
BTCPay belum mengungkapkan berapa banyak Bitcoin yang dicuri, berapa banyak pengguna yang terpengaruh, atau apakah ada dana yang telah dipulihkan.
Jika beberapa tip membantu memulihkan dana, hadiah tersebut akan dibagi berkoordinasi dengan para korban. Proyek tersebut mengatakan akan mempertimbangkan kerugian setiap korban, jumlah yang dipulihkan, dan kegunaan setiap tip.
BTCPay Server Foundation juga akan mendonasikan 0,21 BTC masing-masing kepada peneliti keamanan Craig Raw dan dana Bitcoin Red Team karena telah secara bertanggung jawab mengungkapkan kerentanan tersebut.
“Ini adalah kontribusi sederhana, tetapi inilah yang bisa kami tawarkan sebagai proyek FOSS dan cara untuk menghargai orang-orang yang melakukan pekerjaan keamanan krusial, yang membantu seluruh ekosistem,” tulis BTCPay.
Perusahaan tersebut mengatakan akan memperkuat peninjauan kode dan memprioritaskan patch keamanan di atas fitur baru karena AI semakin memudahkan penyerang menemukan kerentanan dalam perangkat lunak Bitcoin.
“Mempertahankan perangkat lunak dalam lingkungan ini membutuhkan alat yang lebih baik, tinjauan yang lebih menyeluruh, respons keamanan yang lebih cepat, dan dukungan untuk peneliti yang menemukan dan secara bertanggung jawab melaporkan kerentanan,” tulis BTCPay.
