BTCPay Server wydał wersję 2.4.7, aktualizację skoncentrowaną na bezpieczeństwie, która usuwa 85 ustaleń i wzmacnia ochronę firm przyjmujących płatności w Bitcoinie. Aktualizacja, opublikowana 29 października, obejmuje słabości dotyczące przetwarzania płatności, uwierzytelniania i bezpieczeństwa kont handlowców.

Wydanie przypada w wrażliwym momencie dla samodzielnie hostowanej infrastruktury płatności kryptowalutowych. 2 listopada zespół BTCPay Server oddzielnie potwierdził, że Bitcoin i Litecoin zostały skradzione handlowcom korzystającym z przestarzałych instalacji, co zwiększyło pilność przeglądu systemów przez operatorów.

85 ustaleń usuniętych w ramach programu OSS Scanner firmy Anthropic

Zgodnie z oficjalnymi uwagami do wydania projektu wersja 2.4.7 usuwa 85 ustaleń zidentyfikowanych w ramach programu OSS Scanner firmy Anthropic. Podział obejmuje jedną krytyczną podatność, 13 problemów o wysokim poziomie ryzyka, 52 ustalenia o średnim poziomie i 19 problemów o niskim poziomie ryzyka.

Poprawki obejmują kilka kluczowych komponentów platformy płatniczej. Deweloperzy wzmocnili ograniczenia wypłat, kontrolę dostępu do faktur, uwierzytelnianie dwuskładnikowe oraz uprawnienia API, aby zmniejszyć ryzyko nieautoryzowanych działań. Aktualizacja usunęła również słabości w formularzach płatności i izolacji kont handlowców — zmiany opisane jako szczególnie istotne dla dostawców hostujących wiele firm na współdzielonej infrastrukturze.

BTCPay Server wezwał administratorów do niezwłocznego zastosowania aktualizacji, zwłaszcza gdy kilku handlowców korzysta z jednej instalacji.

Ujawnienia kradzieży związane z przestarzałymi instalacjami

Wydanie zyskało dodatkowe znaczenie po tym, jak BTCPay Server ujawnił kradzieże kryptowalut związane ze starszymi wersjami oprogramowania. W komunikacie o incydencie opublikowanym na oficjalnym blogu projektu deweloperzy potwierdzili 2 listopada, że atakujący celowali w instalacje działające na wersji 2.4.1 lub starszej. Ataki wykorzystywały podatność, która została już załatana w wersji 2.4.2, wydanej w sierpniu. Oznacza to, że wykorzystana luka wykracza poza zakres 85 ustaleń skanera usuniętych w wersji 2.4.7, co oddziela oba działania bezpieczeństwa.

Zespół nie odnotował żadnego wpływu tych ataków na serwery już działające na wersji 2.4.2 lub nowszej w momencie wydania ostrzeżenia 1 listopada.

Projekt jednak ostrzegł, że aktualizacja skompromitowanej instalacji może nie usunąć istniejącego nieautoryzowanego dostępu. Operatorzy dotkniętych systemów powinni przeprowadzić migrację na nowe serwery, wymienić potencjalnie ujawnione poświadczenia i utworzyć nowe portfele. Komunikat o incydencie projektu pozostaje punktem odniesienia dla operatorów określających, czy ich instalacje mieszczą się w zakresie dotkniętym problemem ujawnionym przez zespół.

Ciężar bezpieczeństwa spoczywa na operatorach samodzielnie hostujących

BTCPay Server umożliwia firmom przyjmowanie płatności kryptowalutowych bez polegania na tradycyjnych operatorach płatności. Ta niezależność oznacza jednak, że utrzymanie oprogramowania i bezpieczeństwo infrastruktury leżą bezpośrednio w rękach handlowców. Dla firm obsługujących transakcje klientów opóźnione aktualizacje mogą ujawnić wrażliwe informacje i zwiększyć ryzyko finansowe.

Administratorom zaleca się utrzymywanie niezawodnych kopii zapasowych, monitorowanie podejrzanych działań oraz ograniczanie środków przechowywanych w portfelach połączonych z internetem.

Te wydarzenia podkreślają szersze wyzwanie, przed którym stoi infrastruktura płatności kryptowalutowych: wraz z rozwojem adopcji aktywów cyfrowych konsekwentne utrzymanie bezpieczeństwa pozostaje kluczowe dla ochrony środków handlowców i zachowania zaufania klientów.

Główne źródło: Komunikat o incydencie bezpieczeństwa BTCPay Server (wersje 2.4.1 i starsze)