El viernes por la noche, un grupo de atacantes empezó a vaciar carteras Lightning en BTCPay Server, el popular procesador de pagos en bitcoin de código abierto. Nadie lo notó de inmediato: los intrusos entraron por una falla que el equipo no parcheó hasta varias horas después.
El problema estaba en los llamados archivos macaroon, una especie de llave digital que permite a un programa controlar un nodo Lightning basado en LND, el software de nodo más usado. Un fallo en BTCPay Server permitía obtener esa llave de forma remota, sin contraseña ni autorización. Con ese archivo en la mano, el atacante tiene los mismos poderes que el dueño del nodo: puede vaciarlo, cerrar canales, mover fondos como si fueran suyos.
Al menos dos nombres conocidos de la comunidad bitcoiner resultaron afectados. El fabricante de carteras físicas Foundation vio cómo le vaciaban el nodo Lightning, aunque su almacenamiento en frío quedó intacto. La publicación Citadel21 también perdió el contenido de su nodo, aunque tenía poco guardado. BTCPay todavía no ha dicho cuánto bitcoin se perdió ni a cuántos usuarios afectó; promete un informe detallado en los próximos días.
El parche llegó como la versión 2.4.2, y BTCPay pide a todo operador de LND detrás de su software que actualice ya o desconecte el servidor. Hay un matiz que muchos pasarán por alto: instalar el parche no basta. Los archivos macaroon robados siguen funcionando después de la actualización, así que un atacante que ya tenga uno puede volver a entrar si el operador no rota también las credenciales.
Quien reportó el fallo fue Bitcoin Red Team, un grupo de voluntarios que incluye a Craig Raw, Rob Hamilton, Calle y Evan Kaloudis, el mismo equipo que días antes usó inteligencia artificial para encontrar miles de fallos menores en el propio código de bitcoin. Esta vez no fue un riesgo teórico: salieron monedas reales de carteras reales, y la capa de pagos de bitcoin recibió en un mes su segundo aviso de que su infraestructura crece más rápido de lo que se puede blindar.
