أصدر BTCPay Server تحذيراً بإغلاق طارئ في 1 نوفمبر بعد تقارير عن قيام مهاجمين بسحب البيتكوين من محافظ ساخنة مرتبطة بخوادم دفع ذاتية الاستضافة. وربط المؤسس نيكولا دورييه الاختراقات المبلغ عنها بإصدارات BTCPay Server الأقدم من 2.4.2. وقال إن الخوادم العامة التي تعمل بالإصدار 2.4.7 لم تتعرض للهجوم.
ما تواجهه التثبيتات القديمة
يتمحور التحذير حول خوادم الدفع ذاتية الاستضافة — وهي الإعدادات التي يديرها التجار بأنفسهم لقبول البيتكوين دون وسيط. المحافظ الساخنة المتصلة بهذه الخوادم تحتفظ بالأموال عبر الإنترنت، مما يجعلها هدفاً مباشراً بمجرد أن يجد المهاجم طريقة للدخول. تشير رسالة دورييه إلى أن الكود القديم هو طريق الدخول: أي شيء قبل 2.4.2 يقع في نطاق التأثر.
وهذا نطاق واسع. فـ BTCPay Server مفتوح المصدر ومجاني، لذا لا يتم تتبع قاعدة التثبيت كما هو الحال مع خدمة مستضافة. أي شخص أعدّ خادماً قبل سنوات ولم يلمسه منذ ذلك الحين قد لا يزال يشغّل إصداراً أقدم من 2.4.2 حتى اليوم.
الفجوة البالغة ثلاثة أيام
وصل تحذير الإغلاق بعد ثلاثة أيام من حدث سابق غير محدد، وفقاً للمعلومات المتاحة. المصدر يقتطع تفاصيل ذلك الحادث السابق، لذا ليس واضحاً من السجل ما إذا كان اختراقاً ذا صلة أو إفصاحاً أو شيئاً آخر. ما هو واضح هو التسلسل: حدث شيء ما، وبعد ثلاثة أيام أخبر BTCPay Server المشغلين بإغلاق الخوادم.
إشعارات الإغلاق الطارئ أدوات صريحة. فهي تقايض وقت التشغيل بالأمان، وبالنسبة لمعالج دفع يعني ذلك أن التجار الذين يعتمدون على الخادم لإتمام الدفع يفقدونه حتى يعالجوا المشكلة.
الإصدار 2.4.7 صمد
هناك خبر جيد ملموس واحد: الخوادم العامة على الإصدار 2.4.7 لم تتعرض للاختراق، وفقاً لدورييه. وهذا يرسم خطاً فاصلاً بين الإصدار الحالي والإصدارات الأقدم التي ترتبط بها الاختراقات. كما يشير إلى أن الإصلاح، أو على الأقل التحصين، موجود بالفعل في الفرع الأحدث.
بالنسبة للمشغلين، القراءة العملية واضحة ومباشرة. تحقق من الإصدار. إذا كان أقل من 2.4.2، فإن التحذير ينطبق. وإذا كان 2.4.7، فإن الهجمات المبلغ عنها لم تصله.
ما يُطلب من المشغلين فعله
التحذير هو إشعار إغلاق، وليس إعلاناً عن تصحيح. لم ينشر BTCPay Server، وفقاً للحقائق المتاحة، جدولاً زمنياً للمعالجة أو بياناً كاملاً بالخوادم المتأثرة وكمية البيتكوين المسروقة. عدد الخوادم المخترقة، وحجم الخسائر، وهوية المهاجمين لا تزال جميعها غير معروفة من السجل العام حتى الآن.
الشيء التالي الذي يجب مراقبته هو ما إذا كان دورييه أو المشروع سيتابعان بتقرير ما بعد الحادث يغطي الحدث السابق وعمليات سحب المحافظ، وما إذا كان سيتم دفع إصدار محدث للمشغلين الذين لا يزالون على إصدارات أقدم من 2.4.2. حتى ذلك الحين، فإن الموقف الأكثر أماناً لأي شخص يدير خادماً ذاتي الاستضافة قديماً هو ما ينص عليه الإشعار بالفعل: أغلقه.
