BTCPay Server выпустил версию 2.4.7 — обновление с акцентом на безопасность, в котором устранены 85 уязвимостей и усилены меры защиты для компаний, принимающих платежи в биткойнах. Обновление, опубликованное 29 октября, устраняет слабые места, затрагивающие обработку платежей, аутентификацию и безопасность аккаунтов продавцов.

Релиз появился в чувствительный момент для самостоятельно размещаемой инфраструктуры криптоплатежей. 2 ноября команда BTCPay Server отдельно подтвердила, что у продавцов с устаревшими установками были украдены биткойны и лайткойны, что усилило необходимость для операторов проверить свои системы.

85 уязвимостей устранено в рамках программы OSS Scanner от Anthropic

Согласно официальным примечаниям к релизу проекта, версия 2.4.7 устраняет 85 уязвимостей, выявленных в рамках программы OSS Scanner от Anthropic. В их числе одна критическая уязвимость, 13 проблем высокого, 52 среднего и 19 низкого уровня опасности.

Исправления затронули несколько ключевых компонентов платежной платформы. Разработчики усилили ограничения на выплаты, контроль доступа к счетам, двухфакторную аутентификацию и права API, чтобы снизить риск несанкционированной активности. Обновление также устранило слабости в формах оплаты и изоляции аккаунтов продавцов — эти изменения описаны как особенно значимые для провайдеров, размещающих несколько бизнесов на общей инфраструктуре.

BTCPay Server призвал администраторов установить обновление как можно скорее, особенно там, где одну установку используют несколько продавцов.

Раскрытие краж, связанных с устаревшими установками

Релиз безопасности приобрел дополнительную значимость после того, как BTCPay Server сообщил о кражах криптовалют, связанных с более старыми версиями ПО. В опубликованном на официальном блоге проекта уведомлении об инциденте разработчики 2 ноября подтвердили, что злоумышленники атаковали установки с версией 2.4.1 или более ранней. Атаки использовали уязвимость, которая уже была исправлена в версии 2.4.2, вышедшей в августе. Это выводит использованную уязвимость за рамки 85 находок сканера, устраненных в версии 2.4.7, разделяя два этих мероприятия по безопасности.

Команда сообщила об отсутствии наблюдаемого воздействия этих атак на серверы с версией 2.4.2 или новее на момент публикации предупреждения 1 ноября.

Однако проект предупредил, что обновление скомпрометированной установки может не устранить уже существующий несанкционированный доступ. Операторам затронутых систем следует перейти на новые серверы, заменить потенциально скомпрометированные учетные данные и создать новые кошельки. Уведомление проекта об инциденте остается ориентиром для операторов, определяющих, попадает ли их установка в затронутый диапазон, раскрытый командой.

Ответственность за безопасность лежит на самостоятельно размещаемых операторах

BTCPay Server позволяет компаниям принимать криптоплатежи без зависимости от традиционных платежных процессоров. Однако такая независимость возлагает поддержание ПО и безопасность инфраструктуры непосредственно на продавцов. Для компаний, обрабатывающих клиентские транзакции, отложенные обновления могут привести к раскрытию конфиденциальной информации и повышению финансовых рисков.

Администраторам рекомендуется поддерживать надежные резервные копии, следить за подозрительной активностью и ограничивать средства, хранящиеся в подключенных к интернету кошельках.

Эти события подчеркивают более широкую проблему инфраструктуры криптоплатежей: по мере расширения принятия цифровых активов регулярная поддержка безопасности остается необходимой для защиты средств продавцов и сохранения доверия клиентов.

Основной источник: Уведомление BTCPay Server об инциденте безопасности (версии 2.4.1 и ранее)