BTCPay, открытый процессор биткоин-платежей, предупредил, что критическая уязвимость безопасности в его платформе в настоящее время эксплуатируется в ходе активных атак.

Сообщение об уязвимости было опубликовано Decrypt, что указывает на немедленную угрозу для пользователей и торговцев, полагающихся на самостоятельно размещаемое платёжное решение.

BTCPay Server — широко используемый, самостоятельно размещаемый процессор криптовалютных платежей, позволяющий торговцам принимать биткоин-платежи напрямую, без посредников. Первоначально запущенный в 2017 году как альтернатива, разработанная сообществом, централизованным платёжным процессорам после споров о маршрутизации транзакций в биткоин-сообществе, проект вырос в один из наиболее известных инструментов платёжной инфраструктуры с открытым исходным кодом в экосистеме криптовалют. Он поддерживается распределённым сообществом разработчиков, а не отдельной корпоративной организацией.

Поскольку развёртывания BTCPay Server являются самостоятельно размещаемыми, ответственность за установку патчей и поддержание безопасных конфигураций лежит на каждом отдельном операторе. В отличие от централизованно управляемых сервисов, которые могут одновременно распространять обновления на все экземпляры, уязвимые инсталляции BTCPay остаются открытыми до тех пор, пока каждый оператор самостоятельно не обновит свой сервер — характеристика, типичная для самостоятельно размещаемого программного обеспечения с открытым исходным кодом, которая может продлить период эксплуатации уязвимости во время активных атакующих кампаний.

Дополнительные технические детали относительно уязвимости, затронутых версий и рекомендуемых шагов по устранению не были доступны в исходных материалах на момент составления данного отчёта. Пользователям и операторам развёртываний BTCPay рекомендуется обратиться к официальному репозиторию на GitHub и официальным каналам связи за последними рекомендациями по безопасности и информацией о патчах.