BTCPay Server emitió una advertencia de apagado de emergencia el 1 de noviembre después de que se informara que los atacantes estaban drenando bitcoin de billeteras calientes vinculadas a servidores de pago autoalojados. El fundador Nicolas Dorier relacionó los presuntos compromisos con versiones de BTCPay Server anteriores a la 2.4.2. Los servidores públicos que ejecutan la versión 2.4.7 no habían sido atacados, dijo.
A qué se enfrentan las instalaciones más antiguas
La advertencia se centra en los servidores de pago autoalojados — las configuraciones que los comerciantes ejecutan ellos mismos para aceptar bitcoin sin un intermediario. Las billeteras calientes conectadas a esos servidores mantienen fondos en línea, lo que las convierte en un objetivo activo una vez que un atacante encuentra una vía de entrada. El mensaje de Dorier señala al código antiguo como la vía de entrada: cualquier versión anterior a la 2.4.2 está dentro del radio de impacto.
Eso abarca un amplio espectro. BTCPay Server es de código abierto y gratuito, por lo que la base instalada no se rastrea como la de un servicio alojado. Cualquiera que haya configurado un servidor hace años y nunca lo haya tocado podría seguir ejecutando una compilación anterior a la 2.4.2 hoy.
El intervalo de tres días
La advertencia de apagado llegó tres días después de un evento previo no especificado, según la información disponible. El material de origen trunca los detalles de ese incidente anterior, por lo que no queda claro en el registro si fue un compromiso relacionado, una divulgación o algo más. Lo que sí está claro es la secuencia: algo sucedió, y tres días después BTCPay Server indicó a los operadores que se apagaran.
Los avisos de apagado de emergencia son instrumentos contundentes. Intercambian tiempo de actividad por seguridad, y para un procesador de pagos eso significa que los comerciantes que dependen del servidor para el cobro lo pierden hasta que resuelvan el problema.
La versión 2.4.7 resistió
Una pieza concreta de buenas noticias: los servidores públicos en la versión 2.4.7 no habían sido afectados, según Dorier. Eso traza una línea entre la versión actual y las compilaciones más antiguas a las que se vinculan los compromisos. También sugiere que la corrección, o al menos el endurecimiento, ya está en la rama más nueva.
Para los operadores, la lectura práctica es sencilla. Verifiquen la versión. Si es inferior a la 2.4.2, la advertencia aplica. Si es la 2.4.7, los ataques reportados no la alcanzaron.
Qué se les pide a los operadores
La advertencia es un aviso de apagado, no un anuncio de parche. BTCPay Server no ha publicado, según los hechos disponibles, un cronograma de remediación ni un recuento completo de qué servidores se vieron afectados y cuánto bitcoin se sustrajo. El número de servidores comprometidos, el tamaño de las pérdidas y la identidad de los atacantes siguen siendo desconocidos en el registro público hasta ahora.
Lo siguiente a observar es si Dorier o el proyecto hacen un seguimiento con un análisis post mortem que cubra el evento anterior y los drenajes de billeteras, y si se lanza una versión actualizada para los operadores que aún tienen compilaciones anteriores a la 2.4.2. Hasta entonces, la posición más segura para cualquiera que ejecute un servidor autoalojado antiguo es la que ya indica el aviso: apagarlo.
