BTCPay Server heeft versie 2.4.7 uitgebracht, een beveiligingsgerichte release die 85 bevindingen verhelpt en de bescherming versterkt voor bedrijven die Bitcoin-betalingen accepteren. De update, gepubliceerd op 29 oktober, richt zich op zwakke punten in betalingsverwerking, authenticatie en de beveiliging van handelaarsaccounts.

De release valt samen met een gevoelig moment voor zelf gehoste cryptobetalingsinfrastructuur. Op 2 november bevestigde het BTCPay Server-team afzonderlijk dat Bitcoin en Litecoin waren gestolen van handelaars met verouderde installaties, wat de urgentie vergrootte voor beheerders om hun systemen te controleren.

85 bevindingen verhelpt via Anthropic's OSS Scanner-programma

Volgens de officiële releasenotes van het project pakt versie 2.4.7 85 bevindingen aan die zijn geïdentificeerd via Anthropic's OSS Scanner-programma. De verdeling omvat één kritieke kwetsbaarheid, 13 problemen met hoge ernst, 52 bevindingen met middelmatige ernst en 19 problemen met lage ernst.

De fixes beslaan verschillende kernonderdelen van het betalingsplatform. Ontwikkelaars hebben uitbetalingsbeperkingen, toegangscontroles voor facturen, tweefactorauthenticatie en API-rechten versterkt om het risico op ongeautoriseerde activiteiten te verkleinen. De update verholpen ook zwakke punten in checkout-formulieren en de isolatie van handelaarsaccounts—wijzigingen die volgens de makers vooral belangrijk zijn voor dienstverleners die meerdere bedrijven hosten op gedeelde infrastructuur.

BTCPay Server riep beheerders op de update snel toe te passen, vooral wanneer meerdere handelaars dezelfde installatie delen.

Openbaarmaking van diefstal bij verouderde installaties

De beveiligingsrelease kreeg extra gewicht nadat BTCPay Server cryptodiefstallen had gemeld die verband hielden met oudere softwareversies. In een incidentmelding op de officiële blog van het project bevestigden ontwikkelaars op 2 november dat aanvallers installaties hadden aangevallen die versie 2.4.1 of ouder draaiden. De aanvallen misbruikten een kwetsbaarheid die al was verholpen in versie 2.4.2, uitgebracht in augustus. Daarmee valt de misbruikte kwetsbaarheid buiten de reikwijdte van de 85 scannerbevindingen die in versie 2.4.7 zijn verholpen, waardoor de twee beveiligingsinspanningen gescheiden blijven.

Het team meldde geen waargenomen impact op servers die op het moment van de waarschuwing op 1 november al versie 2.4.2 of nieuwer draaiden.

Het project waarschuwde echter dat het bijwerken van een gecompromitteerde installatie mogelijk geen bestaande ongeautoriseerde toegang wegneemt. Beheerders van getroffen systemen moeten migreren naar nieuwe servers, mogelijk blootgestelde inloggegevens vervangen en nieuwe wallets aanmaken. De incidentmelding van het project blijft het referentiepunt voor beheerders die willen vaststellen of hun installaties binnen het door het team gemelde getroffen bereik vallen.

Beveiligingsverantwoordelijkheid ligt bij zelfhostende beheerders

BTCPay Server stelt bedrijven in staat cryptobetalingen te accepteren zonder afhankelijk te zijn van traditionele betaalverwerkers. Die onafhankelijkheid plaatst softwareonderhoud en infrastructuurbeveiliging echter rechtstreeks in de handen van handelaars. Voor bedrijven die klanttransacties verwerken, kunnen vertraagde updates gevoelige informatie blootstellen en het financiële risico vergroten.

Beheerders wordt geadviseerd betrouwbare back-ups te onderhouden, verdachte activiteiten te monitoren en het saldo in wallets met internetverbinding te beperken.

Deze ontwikkelingen onderstrepen een bredere uitdaging voor cryptobetalingsinfrastructuur: naarmate de adoptie van digitale activa groeit, blijft consistent beveiligingsonderhoud essentieel voor de bescherming van handelaarsmiddelen en het behoud van klantvertrouwen.

Primaire bron: BTCPay Server security incident notice (versions 2.4.1 and earlier)