BTCPay Server waarschuwt voor actieve exploit die gebruikersfondsen bedreigt

BTCPay Server heeft alle gebruikers dringend opgeroepen om onmiddellijk versie 2.4.2 te installeren na de bevestiging dat aanvallers actief een kritieke kwetsbaarheid uitbuiten die kan resulteren in de diefstal van fondsen.

Onmiddellijke update vereist

Op 7 augustus heeft BTCPay Server een waarschuwing uitgevaardigd via haar officiële X-account, waarbij de kwetsbaarheid als kritiek werd bestempeld en werd gewaarschuwd dat een succesvolle exploitatie kan leiden tot directe financiële verliezen.

"Er is een kritieke kwetsbaarheid die actief wordt uitgebuit op BTCPay Server, wat kan resulteren in het verlies van fondsen," stelde het project.

Serverbeheerders kregen de opdracht om toegang te krijgen tot het Admin Dashboard en vervolgens te navigeren naar Server, gevolgd door Maintenance en Update. Na het voltooien van het proces moeten operators controleren of het versienummer dat in de servervoettekst wordt weergegeven, luidt 2.4.2.

Voor gebruikers die de patch niet onmiddellijk kunnen toepassen, raadde BTCPay Server aan om hun servers volledig uit te schakelen totdat de bijgewerkte versie kan worden geïnstalleerd. Deze voorzorgsmaatregel is bedoeld om verdere ongeoorloofde toegang tot servers die mogelijk kwetsbaar blijven, te voorkomen.

Het project heeft niet bekendgemaakt welke eerdere versies zijn getroffen, hoe aanvallers de kwetsbaarheid uitbuiten, hoeveel servers mogelijk zijn gecompromitteerd, of er al verliezen zijn bevestigd. Het achterhouden van technische specificaties komt overeen met de procedures voor gecoördineerde openbaarmaking van kwetsbaarheden, waarbij projecten publieke details beperken totdat voldoende operators de reparatie hebben toegepast, waardoor het risico op na-aap-exploitatie van niet-gepatchte systemen wordt verminderd.

Zelf-gehoste Bitcoin-betalingsinfrastructuur in gevaar

BTCPay Server is een open-source betalingsverwerker die handelaren in staat stelt Bitcoin- en Lightning Network-betalingen te accepteren via hun eigen zelf-gehoste infrastructuur. In tegenstelling tot beheerde betalingsplatforms dragen operators de volledige verantwoordelijkheid voor het onderhouden en beveiligen van hun individuele installaties.

Deze zelf-gehoste architectuur vermindert de afhankelijkheid van gecentraliseerde betalingsproviders, maar verplaatst de last van software-onderhoud direct naar handelaren en serverbeheerders. Omdat elke instantie onafhankelijk wordt beheerd, is er geen centraal mechanisme om updates automatisch uit te rollen — elke operator moet de patch handmatig toepassen, wat een inherente vertraging creëert gedurende welke kwetsbare servers blootgesteld blijven. Afhankelijk van de omvang van de kwetsbaarheid kan een gecompromitteerde installatie betalingsoperaties en andere gevoelige serverfuncties blootleggen.

De opdracht van het project om servers uit te schakelen, onderstreept de ernst van de dreiging. Aangezien BTCPay Server heeft bevestigd dat er al sprake is van actieve exploitatie, wordt operators geadviseerd om getroffen systemen niet te laten draaien terwijl ze wachten op een gepland onderhoudsvenster.

Gebruikers moeten de update uitsluitend via de officiële onderhoudsinterface van de server verkrijgen en de versietekenreeks 2.4.2 bevestigen. Het project heeft downloads van derden of onofficiële patches niet goedgekeurd.

Bredere veiligheidscontrole in het hele Bitcoin-ecosysteem

De onthulling komt te midden van verhoogde veiligheidszorgen rond Bitcoin-betalingsinfrastructuur. Zoals gemeld door crypto.news, nam Zeus Wallet onlangs de infrastructuur offline na het indammen van een cyberaanval en startte een systeemaudit voordat de diensten werden hervat.

Zeus verklaarde dat er geen klantfondsen verloren of in gevaar waren gebracht, en het onderzoek vond geen kwetsbaarheid in Lightning-node-software. Er is momenteel geen bewijs dat een verband suggereert tussen het Zeus-incident en de BTCPay Server-kwetsbaarheid.

Veiligheidsbeoordelingen zijn geïntensiveerd in het hele Bitcoin-ecosysteem na meerdere recente incidenten. Crypto.news meldde op 6 augustus dat het door vrijwilligers gerunde Bitcoin Red Team 4.962 potentiële problemen identificeerde tijdens de beoordeling van 390 aan Bitcoin gerelateerde projecten. Daarvan werden 720 bevindingen geclassificeerd als zijnde van hoge of kritieke ernst. De beoordeling van de groep omvatte Bitcoin-wallets, cryptografische bibliotheken en infrastructuursoftware, hoewel het niet publiekelijk projecten noemde met onopgeloste kritieke fouten. De bevindingen benadrukken dat de beveiligingsaudit van open-source Bitcoin-tooling een voortdurende inspanning van de gemeenschap blijft, waarbij veel projecten vertrouwen op vrijwilligers in plaats van op toegewijde beveiligingsteams.

Aanbevolen acties voor operators

BTCPay Server-operators moeten de upgrade beschouwen als een noodinterventie op het gebied van beveiliging in plaats van een routinematige onderhoudstaak. Servers moeten offline blijven als beheerders niet kunnen bevestigen dat versie 2.4.2 met succes is geïnstalleerd.

Handelaren wordt ook geadviseerd om serveractiviteitenlogboeken te controleren op eventuele aanwijzingen van ongeoorloofde toegang. BTCPay Server heeft echter nog geen indicatoren van compromittering of technische details vrijgegeven waarmee operators kunnen bepalen of hun systemen specifiek zijn getroffen.

Er kunnen aanvullende gegevens worden vrijgegeven zodra een voldoende aantal gebruikers de patch heeft toegepast en bredere openbare bekendmaking het risico op niet-gepatchte servers niet meer verhoogt. In de tussentijd blijft de richtlijn van het project simpel: update naar v2.4.2 of sluit de server af.