BTCPay Server hat seine Benutzer aufgefordert, sofort Version 2.4.2 zu installieren, nachdem entdeckt wurde, dass Angreifer aktiv eine kritische Schwachstelle ausnutzen, die zum Diebstahl von Geldern führen könnte.
Zusammenfassung
- BTCPay Server v2.4.2 enthält das erforderliche Sicherheitsupdate.
- Die Schwachstelle wird laut Projekt bereits aktiv ausgenutzt.
- Betreiber, die nicht aktualisieren können, sollten ihre Server sofort herunterfahren.
- BTCPay Server hat die Angriffsmethode oder die gesamten finanziellen Verluste nicht offengelegt.
BTCPay Server fordert Benutzer auf, v2.4.2 zu installieren
BTCPay Server gab die Warnung am 7. August über seinen offiziellen X-Account heraus und beschrieb die Schwachstelle als kritisch und sagte, dass eine erfolgreiche Ausnutzung zum Verlust von Geldern führen könnte.
Das Projekt wies Serveradministratoren an, das Admin-Dashboard zu öffnen und zu Server, Wartung und Update zu navigieren. Betreiber sollten dann bestätigen, dass die im Server-Fußbereich angezeigte Versionsnummer 2.4.2 lautet.
„Es gibt eine kritische Schwachstelle, die auf BTCPay Server aktiv ausgenutzt wird, was zum Verlust von Geldern führen kann“, sagte das Projekt.
Benutzer, die das Update nicht sofort durchführen können, wurden angewiesen, ihren BTCPay Server auszuschalten, bis die gepatchte Version installiert werden kann. Diese Maßnahme soll weiteren unbefugten Zugriff auf Server blockieren, die möglicherweise weiterhin exponiert sind.
BTCPay Server hat nicht angegeben, welche früheren Versionen betroffen sind. Es hat auch nicht offengelegt, wie Angreifer Zugang erhalten, wie viele Server kompromittiert wurden oder ob Verluste bestätigt wurden.
Kritischer Fehler bedroht selbst gehostete Bitcoin-Zahlungen
BTCPay Server ist ein Open-Source-Zahlungsabwickler, der es Händlern ermöglicht, Bitcoin- und Lightning-Netzwerk-Zahlungen über ihre eigene Infrastruktur zu akzeptieren. Im Gegensatz zu verwahrenden Zahlungsplattformen sind die Betreiber für die Wartung und Sicherung ihrer eigenen Installationen verantwortlich.
Diese Struktur reduziert die Abhängigkeit von einem zentralisierten Zahlungsanbieter, legt die Verantwortung für Software-Updates jedoch auf einzelne Händler und Serveradministratoren. Eine kompromittierte Installation könnte Zahlungsvorgänge oder andere sensible Serverfunktionen gefährden, je nach Reichweite der Schwachstelle.
Die Empfehlung des Projekts, Systeme herunterzufahren, zeigt die Dringlichkeit der Bedrohung. Betreiber sollten einen betroffenen Server nicht online lassen, während sie auf einen geeigneten Wartungszeitpunkt warten, da BTCPay Server bestätigt hat, dass die Ausnutzung bereits stattfindet.
Benutzer sollten das Update über die offizielle Wartungsschnittstelle des Servers beziehen und die Versionszeichenfolge 2.4.2 überprüfen. Das Projekt hat Benutzer nicht angewiesen, sich auf Downloads von Drittanbietern oder inoffizielle Fixes zu verlassen.
Bitcoin-Infrastruktur steht vor breiterer Sicherheitsüberprüfung
Die Offenlegung folgt auf einen weiteren kürzlichen Vorfall mit Bitcoin-Zahlungsinfrastruktur. Wie von crypto.news berichtet, nahm Zeus Wallet seine Infrastruktur nach einem Cyberangriff offline und begann mit der Prüfung seiner Systeme, bevor es die Dienste wiederherstellte.
Zeus sagte, dass keine Kundengelder verloren gegangen oder gefährdet wurden. Es sagte auch, dass seine Untersuchung keine Schwachstelle in der Lightning-Node-Software identifiziert habe. Derzeit gibt es keine Hinweise darauf, dass der Zeus-Vorfall und die BTCPay-Server-Schwachstelle miteinander verbunden sind.
Sicherheitsüberprüfungen haben sich nach einer Reihe von jüngsten Angriffen im gesamten Bitcoin-Ökosystem ausgeweitet. Crypto.news berichtete am 6. August, dass das freiwillige Bitcoin Red Team 4.962 potenzielle Probleme bei der Überprüfung von 390 Bitcoin-bezogenen Projekten gefunden habe.
Die Gruppe stufte 720 dieser Befunde als schwerwiegend oder kritisch ein. Ihre Arbeit umfasst Bitcoin-Wallets, kryptografische Bibliotheken und Infrastruktursoftware, obwohl sie Projekte mit ungelösten kritischen Fehlern nicht öffentlich identifizierte.
Was BTCPay-Server-Betreiber als Nächstes tun sollten
BTCPay-Server-Betreiber sollten das Upgrade als Notfall-Sicherheitsmaßnahme und nicht als routinemäßiges Software-Update behandeln. Server sollten offline bleiben, wenn Administratoren nicht bestätigen können, dass Version 2.4.2 installiert wurde.
Händler müssen möglicherweise auch die Serveraktivität auf Anzeichen unbefugten Zugriffs überprüfen. BTCPay Server hat jedoch noch keine Indikatoren für Kompromittierung oder technische Details veröffentlicht, die Betreiber verwenden könnten, um festzustellen, ob ihre Systeme ins Visier genommen wurden.
Weitere Informationen könnten folgen, sobald mehr Benutzer den Patch installiert haben und die öffentliche Offenlegung das Risiko für nicht gepatchte Server nicht mehr erhöht. Bis dahin bleibt die Anleitung des Projekts begrenzt, aber direkt: auf v2.4.2 aktualisieren oder den Server herunterfahren.
