BTCPay Server ha lanzado la versión 2.4.7, una actualización centrada en seguridad que resuelve 85 hallazgos y fortalece las protecciones para las empresas que aceptan pagos en Bitcoin. La actualización, publicada el 29 de octubre, ataca debilidades que afectan el procesamiento de pagos, la autenticación y la seguridad de las cuentas de comerciantes.

El lanzamiento llega en un momento delicado para la infraestructura de pagos en criptomonedas autoalojada. El 2 de noviembre, el equipo de BTCPay Server confirmó por separado que se habían robado Bitcoin y Litecoin de comerciantes que ejecutaban instalaciones desactualizadas, lo que añade urgencia para que los operadores revisen sus sistemas.

85 hallazgos resueltos bajo el programa OSS Scanner de Anthropic

Según las notas de la versión oficial del proyecto, la versión 2.4.7 aborda 85 hallazgos identificados a través del programa OSS Scanner de Anthropic. El desglose incluye una vulnerabilidad crítica, 13 problemas de severidad alta, 52 hallazgos de severidad media y 19 problemas de severidad baja.

Las correcciones abarcan varios componentes centrales de la plataforma de pagos. Los desarrolladores reforzaron las restricciones de pagos, los controles de acceso a facturas, la autenticación de dos factores y los permisos de API para reducir el riesgo de actividad no autorizada. La actualización también corrigió debilidades en los formularios de pago y el aislamiento de cuentas de comerciantes, cambios descritos como especialmente significativos para los proveedores que alojan múltiples negocios en infraestructura compartida.

BTCPay Server instó a los administradores a aplicar la actualización de inmediato, especialmente cuando varios comerciantes comparten una sola instalación.

Revelaciones de robos relacionadas con instalaciones desactualizadas

La actualización de seguridad adquirió mayor relevancia después de que BTCPay Server revelara robos de criptomonedas vinculados a versiones anteriores del software. En una revelación de incidentes publicada en el blog oficial del proyecto, los desarrolladores confirmaron el 2 de noviembre que los atacantes habían atacado instalaciones que ejecutaban la versión 2.4.1 o anterior. Los ataques explotaron una vulnerabilidad que ya había sido corregida en la versión 2.4.2, lanzada en agosto. Esto sitúa la falla explotada fuera del alcance de los 85 hallazgos del escáner abordados en la versión 2.4.7, separando los dos esfuerzos de seguridad.

El equipo reportó que no se observó impacto en los servidores que ya ejecutaban la versión 2.4.2 o posterior al momento en que se emitió la advertencia del 1 de noviembre.

Sin embargo, el proyecto advirtió que actualizar una instalación comprometida puede no eliminar el acceso no autorizado existente. Los operadores de sistemas afectados deben migrar a servidores nuevos, reemplazar las credenciales posiblemente expuestas y crear nuevas billeteras. El aviso de incidentes del proyecto sigue siendo el punto de referencia para que los operadores determinen si sus instalaciones están dentro del rango afectado divulgado por el equipo.

La carga de seguridad recae en los operadores autoalojados

BTCPay Server permite a las empresas aceptar pagos en criptomonedas sin depender de procesadores de pago tradicionales. Sin embargo, esa independencia coloca el mantenimiento del software y la seguridad de la infraestructura directamente en manos de los comerciantes. Para las empresas que manejan transacciones de clientes, las actualizaciones demoradas pueden exponer información sensible y aumentar el riesgo financiero.

Se recomienda a los administradores mantener copias de seguridad confiables, monitorear actividad sospechosa y limitar los fondos custodiados en billeteras conectadas a internet.

Estos acontecimientos subrayan un desafío más amplio que enfrenta la infraestructura de pagos en criptomonedas: a medida que se expande la adopción de activos digitales, el mantenimiento de seguridad constante sigue siendo esencial para proteger los fondos de los comerciantes y preservar la confianza de los clientes.

Fuente principal: Aviso de incidente de seguridad de BTCPay Server (versiones 2.4.1 y anteriores)