BTCPay Server hat die Version 2.4.7 veröffentlicht – ein sicherheitsorientiertes Release, das 85 Findings behebt und den Schutz für Unternehmen, die Bitcoin-Zahlungen annehmen, verstärkt. Das am 29. Oktober veröffentlichte Update zielt auf Schwachstellen ab, die Zahlungsabwicklung, Authentifizierung und die Sicherheit von Händlerkonten betreffen.

Das Release kommt in einem sensiblen Moment für selbst gehostete Krypto-Zahlungsinfrastrukturen. Am 2. November bestätigte das BTCPay-Server-Team separat, dass Bitcoin und Litecoin von Händlern mit veralteten Installationen gestohlen worden waren, was den Druck auf Betreiber erhöht, ihre Systeme zu überprüfen.

85 Findings im Rahmen von Anthropics OSS-Scanner-Programm behoben

Laut den offiziellen Release Notes des Projekts behebt die Version 2.4.7 85 Findings, die durch Anthropics OSS-Scanner-Programm identifiziert wurden. Die Aufteilung umfasst eine kritische Schwachstelle, 13 Issues mit hohem, 52 Findings mit mittlerem und 19 Probleme mit niedrigem Schweregrad.

Die Korrekturen betreffen mehrere Kernkomponenten der Zahlungsplattform. Die Entwickler verstärkten Auszahlungsbeschränkungen, Rechnungszugriffskontrollen, Zwei-Faktor-Authentifizierung und API-Berechtigungen, um das Risiko unbefugter Aktivitäten zu reduzieren. Das Update behob zudem Schwachstellen in Checkout-Formularen und der Isolierung von Händlerkonten – Änderungen, die als besonders bedeutsam für Anbieter beschrieben werden, die mehrere Unternehmen auf geteilter Infrastruktur hosten.

BTCPay Server forderte Administratoren auf, das Update umgehend einzuspielen, insbesondere wenn mehrere Händler eine Installation teilen.

Diebstahl-Meldungen betreffen veraltete Installationen

Das Sicherheitsrelease erhielt zusätzliches Gewicht, nachdem BTCPay Server Kryptodiebstähle im Zusammenhang mit älteren Softwareversionen meldete. In einer Incident-Mitteilung auf dem offiziellen Blog des Projekts bestätigten die Entwickler am 2. November, dass Angreifer Installationen mit Version 2.4.1 oder älter ins Visier genommen hatten. Die Angriffe nutzten eine Schwachstelle aus, die bereits in der im August veröffentlichten Version 2.4.2 behoben worden war. Damit liegt die ausgenutzte Schwachstelle außerhalb des Umfangs der 85 Scanner-Findings in Version 2.4.7 – die beiden Sicherheitsmaßnahmen sind also getrennt zu betrachten.

Das Team berichtete keine beobachteten Auswirkungen auf Server, die zum Zeitpunkt der Warnung am 1. November bereits Version 2.4.2 oder neuer liefen.

Das Projekt warnte jedoch, dass ein Update einer kompromittierten Installation bestehenden unbefugten Zugriff möglicherweise nicht beseitigt. Betreiber betroffener Systeme sollten auf neue Server migrieren, potenziell offengelegte Zugangsdaten ersetzen und neue Wallets einrichten. Die Incident-Mitteilung des Projekts bleibt der Referenzpunkt für Betreiber, die prüfen, ob ihre Installationen in den vom Team genannten betroffenen Bereich fallen.

Sicherheitslast liegt bei selbst gehosteten Betreibern

BTCPay Server ermöglicht Unternehmen die Annahme von Krypto-Zahlungen ohne Abhängigkeit von traditionellen Zahlungsabwicklern. Diese Unabhängigkeit verlagert jedoch Softwarewartung und Infrastruktursicherheit direkt in die Hände der Händler. Für Unternehmen, die Kundentransaktionen abwickeln, können verspätete Updates sensible Informationen offengelegen und finanzielle Risiken erhöhen.

Administratoren wird empfohlen, verlässliche Backups zu pflegen, verdächtige Aktivitäten zu überwachen und die in internetverbundenen Wallets gehaltenen Mittel zu begrenzen.

Die Entwicklungen unterstreichen eine breitere Herausforderung der Krypto-Zahlungsinfrastruktur: Mit wachsender Akzeptanz digitaler Assets bleibt eine konsistente Sicherheitswartung essenziell, um Händlermittel zu schützen und das Vertrauen der Kunden zu bewahren.

Primärquelle: BTCPay Server Incident-Mitteilung (Versionen 2.4.1 und älter)