Apoiadores do BTCPay Server estão oferecendo 10% de quaisquer fundos recuperados, limitado a 3 BTC, atualmente avaliados em cerca de US$ 190.000, caso todo o Bitcoin roubado em um recente exploit seja devolvido.

Em uma publicação no X na segunda-feira, o BTCPay afirmou que a oferta se estende a qualquer pessoa com informações que possam ajudar a recuperar os fundos, incluindo o atacante.

“Vamos examinar nossos erros, mas o arrependimento por si só não ajudará os usuários afetados nem protegerá o projeto”, escreveu a empresa. “Não há tempo a perder. Precisamos aprender, melhorar e agir rapidamente.”

O BTCPay alertou os usuários sobre os ataques na sexta-feira, instando-os a instalar uma nova versão, 2.4.2, ou a tirar seus servidores do ar. Naquela época, o projeto não havia confirmado nenhum roubo ou explicado como o exploit funcionava.

De acordo com o BTCPay, a falha permitiu que os atacantes obtivessem macaroons administrativos LND – credenciais que concedem amplo controle sobre um nó da Lightning Network – e os utilizassem para acessar carteiras conectadas. A Lightning Network é uma rede de pagamento de camada 2 construída na blockchain do Bitcoin que permite transações mais rápidas e baratas. Os nós da Lightning Network roteiam pagamentos através de canais entre os usuários.

O BTCPay não divulgou quanto Bitcoin foi roubado, quantos usuários foram afetados ou se quaisquer fundos foram recuperados.

Se múltiplas dicas ajudarem a recuperar os fundos, a recompensa será dividida em coordenação com as vítimas. O projeto disse que consideraria as perdas de cada vítima, a quantia recuperada e a utilidade de cada dica.

A Fundação BTCPay Server também doará 0,21 BTC cada para o pesquisador de segurança Craig Raw e para o fundo Bitcoin Red Team pela divulgação responsável da vulnerabilidade.

“Estas são contribuições modestas, mas são o que podemos oferecer como um projeto FOSS e uma forma de agradecer às pessoas que realizam um trabalho de segurança crítico, o que ajuda todo o ecossistema”, escreveu o BTCPay.

A empresa disse que está fortalecendo as revisões de código e priorizando os patches de segurança em detrimento de novas funcionalidades, à medida que a IA está tornando mais fácil para os atacantes encontrarem vulnerabilidades no software Bitcoin.

“Defender o software neste ambiente exige melhores ferramentas, revisões mais completas, respostas de segurança mais rápidas e suporte a pesquisadores que encontram e relatam vulnerabilidades de forma responsável”, escreveu o BTCPay.