Lỗ hổng nghiêm trọng trong Alby Hub có thể chiếm quyền ví Bitcoin lộ Internet
"Alby warned of a critical flaw in Alby Hub that could let an attacker take over internet-exposed self-hosted Bitcoin wallets and send funds, affecting versions v1.7.0 through v1.18.5 when the management interface was reachable from the internet. The issue was fixed in v1.19.0 and later, with v1.24.0 recommended as the current release; affected users are advised to block external access first, update, and change the unlock password if exposure occurred."
Nguy cơ chiếm quyền ví và chuyển tiền trái phép nếu giao diện quản trị bị lộ ra Internet; cần chặn truy cập ngoài, cập nhật ngay và đổi mật khẩu sau khi xử lý.
Có thể gây mất tài sản số, gián đoạn vận hành ví và phát sinh hỗ trợ sự cố; các đội vận hành cần kiểm tra phiên bản và siết cấu hình truy cập để giảm rủi ro.
Alby cảnh báo một lỗ hổng nghiêm trọng trong Alby Hub có thể cho phép kẻ tấn công chiếm quyền ví Bitcoin tự lưu trữ và thực hiện giao dịch nếu giao diện quản trị bị mở ra Internet. Sự cố ảnh hưởng đến các phiên bản v1.7.0 đến v1.18.5; các bản v1.19.0 trở lên không bị ảnh hưởng, và v1.24.0 hiện là bản phát hành được khuyến nghị.
Theo khuyến nghị của nhà cung cấp, người dùng đang chạy bản cũ cần ngăn truy cập từ bên ngoài vào giao diện quản trị trước khi cập nhật. Với triển khai Docker, cổng nên được ràng buộc vào 127.0.0.1:8080:8080 thay vì mở rộng ra 8080:8080. Trên máy chủ đám mây, quy tắc firewall cho cổng 8080 chỉ nên cho phép địa chỉ IP của chính bạn.
Sau khi cập nhật, nếu Hub từng chạy trên phiên bản bị ảnh hưởng và có thể truy cập từ Internet, người dùng nên đổi mật khẩu mở khóa và liên hệ security@getalby.com. Alby cho biết hiện mới ghi nhận 1 người dùng bị ảnh hưởng và sẽ công bố thêm chi tiết kỹ thuật sau.