オープンソースのBitcoin決済プロセッサーであるBTCPayは、プラットフォーム上の重大なセキュリティ脆弱性が現在アクティブな攻撃で悪用されているとの警告を発表しました。

この開示はDecryptが報告したものであり、この欠陥がセルフホスト型決済ソリューションに依存するユーザーと加盟店に直接的なリスクをもたらすことを示しています。

BTCPay Serverは、加盟店が第三者機関に依存せずに直接Bitcoin決済を受け付けることを可能にする、広く使用されているセルフホスト型の暗号通貨決済プロセッサーです。Bitcoin分野におけるトランザクションルーティングをめぐる論争に続いて、中央集権型決済プロセッサーのコミュニティ主導の代替手段として2017年に当初リリースされたこのプロジェクトは、暗号通貨エコシステムで最も著名なオープンソース決済インフラツールの一つに成長しました。単一の企業エンティティではなく、分散されたコントリビューターのコミュニティによって保守されています。

BTCPay Serverのデプロイはセルフホスト型であるため、パッチの適用とセキュアな設定の維持に対する責任は各オペレーターにあります。すべてのインスタンスに同時に更新をプッシュできる中央管理型サービスとは異なり、各オペレーターが独自にサーバーを更新するまで、脆弱なBTCPayインストール環境は露出されたままとなります。これはセルフホスト型オープンソースソフトウェアに共通する特性であり、アクティブな攻撃キャンペーン中に悪用の機会を延長する可能性があります。

本レポート時点では、ソース資料に脆弱性に関するさらなる技術的詳細、影響を受けるバージョン、推奨される修復手順は含まれていませんでした。BTCPayデプロイメントのユーザーとオペレーターは、最新のセキュリティ勧告とパッチ情報について、プロジェクトの公式GitHubリポジトリおよび公式コミュニケーションチャンネルを参照することを推奨されています。