BTCPay Server đề nghị thưởng 10% số tiền thu hồi, tối đa 3 BTC (khoảng 190.000 USD), sau vụ khai thác lỗ hổng đánh cắp Bitcoin từ các ví LND.
Những người ủng hộ BTCPay Server đang đề nghị trao thưởng 10% số tiền được thu hồi, với mức trần 3 BTC, hiện trị giá khoảng 190.000 USD, nếu toàn bộ số Bitcoin bị đánh cắp trong vụ khai thác lỗ hổng gần đây được hoàn trả.
Trong một bài đăng trên X hôm thứ Hai, BTCPay cho biết đề nghị này áp dụng cho bất kỳ ai có thông tin có thể giúp thu hồi số tiền bị đánh cắp, bao gồm cả kẻ tấn công. Công ty nhấn mạnh rằng chỉ hối tiếc sẽ không thể giúp những người dùng bị ảnh hưởng hay bảo vệ dự án, đồng thời khẳng định không còn thời gian để lãng phí và cần rút kinh nghiệm, cải thiện, hành động nhanh chóng.
BTCPay lần đầu cảnh báo người dùng về các cuộc tấn công vào thứ Sáu, đồng thời kêu gọi họ cài đặt phiên bản mới 2.4.2 hoặc đưa máy chủ của mình ngoại tuyến. Vào thời điểm đó, dự án chưa xác nhận có bất kỳ vụ đánh cắp nào, cũng chưa giải thích cơ chế hoạt động của lỗ hổng. Theo BTCPay, lỗ hổng cho phép kẻ tấn công lấy được macaroon quản trị LND – loại thông tin xác thực cấp quyền kiểm soát rộng đối với một nút Lightning Network – và sử dụng chúng để truy cập các ví được kết nối.
Lightning Network là mạng thanh toán lớp 2 được xây dựng trên blockchain Bitcoin, cho phép thực hiện giao dịch nhanh hơn và với chi phí thấp hơn, trong đó các nút mạng định tuyến thanh toán thông qua các kênh giữa người dùng. Hiện BTCPay chưa công bố số Bitcoin bị đánh cắp, số lượng người dùng bị ảnh hưởng hay liệu có khoản tiền nào đã được thu hồi hay chưa.
Cơ chế thưởng và định hướng tăng cường bảo mật
Nếu nhiều nguồn tin cùng góp phần giúp thu hồi số tiền, khoản tiền thưởng sẽ được phân chia sau khi phối hợp với các nạn nhân. Dự án cho biết sẽ xem xét mức thiệt hại của từng nạn nhân, số tiền thu hồi được và mức độ hữu ích của từng thông tin cung cấp.
Song song đó, BTCPay Server Foundation cũng sẽ trao 0,21 BTC cho mỗi bên, gồm nhà nghiên cứu bảo mật Craig Raw và quỹ Bitcoin Red Team, nhằm ghi nhận việc công bố lỗ hổng một cách có trách nhiệm. Công ty gọi đây là những khoản đóng góp khiêm tốn nhưng là cách để ghi nhận những người thực hiện công việc bảo mật thiết yếu, qua đó mang lại lợi ích cho toàn hệ sinh thái.
Công ty cho biết đang tăng cường quy trình rà soát mã nguồn và ưu tiên các bản vá bảo mật hơn các tính năng mới, trong bối cảnh AI đang giúp những kẻ tấn công dễ dàng phát hiện lỗ hổng trong phần mềm Bitcoin hơn. Theo BTCPay, bảo vệ phần mềm trong môi trường hiện nay đòi hỏi các công cụ tốt hơn, quy trình rà soát kỹ lưỡng hơn, phản ứng bảo mật nhanh hơn và sự hỗ trợ dành cho các nhà nghiên cứu phát hiện cũng như báo cáo lỗ hổng một cách có trách nhiệm.
