BTCPay Server Advarsel om Kritisk Sårbarhed
BTCPay Server har opfordret brugerne til straks at installere version 2.4.2, efter at der er blevet opdaget, at angribere aktivt udnytter en kritisk sårbarhed, som kan føre til stjålne midler. Den officielle advarsel blev udsendt gennem BTCPay Servers X-konto den 7. august, hvor sårbarheden blev beskrevet som kritisk, idet de understregede, at en succesfuld udnyttelse kan resultere i tab af midler.
Instruktioner til Opdatering
Projektet instruerede serveradministratorer om at åbne Admin Dashboard og navigere til Server, Vedligeholdelse og Opdatering. Operatører bør bekræfte, at versionsnummeret, der vises i serverens footer, er 2.4.2.
“Der er en kritisk sårbarhed, der aktivt udnyttes på BTCPay Server, hvilket kan resultere i tab af midler,” sagde projektet.
Brugere, der ikke kan gennemføre opdateringen straks, er blevet bedt om at slukke for deres BTCPay Server, indtil den opdaterede version kan installeres. Denne foranstaltning er beregnet til at blokere for yderligere uautoriseret adgang til servere, der måtte forblive udsatte.
Risiko og Ansvar
BTCPay Server har ikke identificeret, hvilke tidligere versioner der er sårbare, og har heller ikke afsløret, hvordan angriberne får adgang, hvor mange servere der er blevet kompromitteret, eller om der er bekræftede tab. BTCPay Server er en open-source betalingsprocessor, der gør det muligt for handlende at acceptere Bitcoin og Lightning Network-betalinger gennem den infrastruktur, de kontrollerer. I modsætning til custodial betalingsplatforme er operatørerne ansvarlige for at vedligeholde og sikre deres egne installationer.
En kompromitteret installation kan udsætte betalingsoperationer eller andre følsomme serverfunktioner, afhængigt af sårbarhedens rækkevidde. Projektets anbefaling om at lukke systemer viser alvoren af truslen. Operatører bør ikke lade en berørt server være online, mens de venter på en bekvem vedligeholdelsesperiode, da BTCPay Server har bekræftet, at udnyttelse allerede finder sted.
Opdateringsprocedure
Brugere bør hente opdateringen gennem serverens officielle vedligeholdelsesgrænseflade og bekræfte versionsstrengen 2.4.2. Projektet har ikke rådgivet brugere til at stole på tredjepartsdownloads eller uofficielle rettelser.
Relaterede Hændelser og Sikkerhedsevalueringer
Offentliggørelsen følger en anden nylig hændelse, der involverer Bitcoin betalingsinfrastruktur. Som rapporteret af crypto.news, tog Zeus Wallet sin infrastruktur offline efter at have været udsat for et cyberangreb og begyndte at revidere sine systemer, før tjenesterne blev genoprettet. Zeus sagde, at ingen kundemidler blev tabt eller sat i fare, og at deres undersøgelse ikke havde identificeret en sårbarhed i Lightning node-software.
Ingen beviser indikerer i øjeblikket, at Zeus-hændelsen og BTCPay Server-sårbarheden er forbundet. Sikkerhedsevalueringer er blevet udvidet i hele Bitcoin-økosystemet efter en række nylige angreb. Crypto.news rapporterede den 6. august, at den frivillige Bitcoin Red Team havde fundet 4.962 potentielle problemer, mens de gennemgik 390 Bitcoin-relaterede projekter. Gruppen klassificerede 720 af disse fund som høj eller kritisk alvorlighed.
Afsluttende Bemærkninger
BTCPay Server-operatører bør betragte opgraderingen som en nød-sikkerhedsforanstaltning snarere end en rutinemæssig softwareopdatering. Servere bør forblive offline, hvis administratorer ikke kan bekræfte, at version 2.4.2 er blevet installeret. Handlende kan også have brug for at gennemgå serveraktivitet for tegn på uautoriseret adgang. Dog har BTCPay Server endnu ikke offentliggjort indikatorer for kompromittering eller tekniske detaljer, som operatører kunne bruge til at afgøre, om deres systemer var målrettet.
Yderligere information kan følge, når flere brugere har installeret patchen, og offentliggørelse ikke længere øger risikoen for ikke-patchede servere. Indtil da forbliver projektets vejledning begrænset, men direkte: opdater til v2.4.2 eller luk serveren.
