BTCPay Server выпустил предупреждение об экстренном отключении 1 ноября после сообщений о том, что злоумышленники выводят биткоины с горячих кошельков, связанных с самостоятельно размещёнными платёжными серверами. Основатель Николя Дорье связал предполагаемые компрометации с версиями BTCPay Server до 2.4.2. По его словам, публичные серверы, работающие на версии 2.4.7, атакованы не были.
С чем сталкиваются старые установки
Предупреждение касается самостоятельно размещённых платёжных серверов — конфигураций, которые merchants запускают сами для приёма биткоинов без посредника. Горячие кошельки, подключённые к таким серверам, хранят средства в сети, что делает их живой целью, как только злоумышленник находит способ проникнуть внутрь. Сообщение Дорье указывает на старый код как на путь проникновения: всё, что до 2.4.2, находится в зоне поражения.
Это широкий охват. BTCPay Server является открытым и бесплатным, поэтому установленная база не отслеживается так, как у хостингового сервиса. Любой, кто настроил сервер годы назад и никогда его не трогал, может до сих пор работать на сборке до 2.4.2.
Трёхдневный разрыв
Предупреждение об отключении появилось через три дня после некоего предшествующего события, согласно доступной информации. Исходный материал обрывает детали того более раннего инцидента, поэтому из записи неясно, была ли это связанная компрометация, раскрытие информации или что-то ещё. Ясна последовательность: что-то произошло, и через три дня BTCPay Server велел операторам отключиться.
Уведомления об экстренном отключении — грубый инструмент. Они обменивают время безотказной работы на безопасность, а для платёжного процессора это означает, что merchants, которые полагаются на сервер для оформления заказов, теряют его, пока не разберутся с проблемой.
Версия 2.4.7 устояла
Одна конкретная хорошая новость: публичные серверы на версии 2.4.7 не пострадали, по словам Дорье. Это проводит черту между текущим релизом и старыми сборками, с которыми связаны компрометации. Это также предполагает, что исправление, или по крайней мере усиление защиты, уже есть в более новой ветке.
Для операторов практическое прочтение прямолинейно. Проверьте версию. Если она ниже 2.4.2, предупреждение применимо. Если это 2.4.7, сообщённые атаки до неё не добрались.
Что просят делать операторов
Предупреждение — это уведомление об отключении, а не анонс патча. BTCPay Server, согласно доступным фактам, не опубликовал график устранения или полный отчёт о том, какие серверы пострадали и сколько биткоинов было похищено. Количество скомпрометированных серверов, размер потерь и личности злоумышленников остаются неизвестными из публичной записи на данный момент.
Следующее, за чем стоит следить, — последуют ли Дорье или проект разбором, охватывающим более раннее событие и выводы из кошельков, и будет ли выпущен обновлённый релиз для операторов, всё ещё использующих сборки до 2.4.2. До тех пор самая безопасная позиция для любого, кто запускает старый самостоятельно размещённый сервер, — та, что уже указана в уведомлении: отключить его.
