BTCPay Server lëshoi një paralajmërim për mbyllje emergjente më 1 nëntor pas raportimeve se sulmuesit po nxirrnin bitcoin nga portofolat e nxehta të lidhura me serverë pagesash të vetë-strehuar. Themeluesi Nicolas Dorier i lidhi kompromisët e raportuara me versionet e BTCPay Server para 2.4.2. Serverët publikë që ekzekutonin versionin 2.4.7 nuk ishin sulmuar, tha ai.
Çfarë përballen instalimet më të vjetra
Paralajmërimi përqendrohet te serverët e pagesave të vetë-strehuar — konfigurimet që tregtarët i menaxhojnë vetë për të pranuar bitcoin pa një ndërmjetës. Portofolat e nxehta të lidhura me këta serverë mbajnë fonde online, gjë që i bën ata një objektiv të drejtpërdrejtë sapo një sulmues gjen një rrugë hyrjeje. Mesazhi i Dorierit tregon kodet e vjetra si rrugën e hyrjes: çdo gjë para 2.4.2 është në rrezen e shpërthimit.
Ky është një rrjet i gjerë. BTCPay Server është me burim të hapur dhe falas, kështu që baza e instalimeve nuk gjurmohet si ajo e një shërbimi të hostuar. Kushdo që ka konfiguruar një server vite më parë dhe nuk e ka prekur kurrë, mund të ekzekutojë ende një ndërtim para 2.4.2 sot.
Hendeku tre-ditor
Paralajmërimi për mbyllje u shfaq tre ditë pas një ngjarjeje të mëparshme të paspecifikuar, sipas informacionit në dispozicion. Burimi material i shkurtron detajet e atij incidenti të mëparshëm, kështu që nuk është e qartë nga të dhënat nëse ishte një kompromis i lidhur, një zbulim, apo diçka tjetër. Ajo që është e qartë është sekuenca: diçka ndodhi, dhe tre ditë më vonë BTCPay Server u tha operatorëve të mbyllnin.
Njoftimet për mbyllje emergjente janë instrumente të drejtpërdrejta. Ato shkëmbejnë kohën e funksionimit për sigurinë, dhe për një procesor pagesash kjo do të thotë që tregtarët që mbështeten te serveri për arkëtim e humbasin atë derisa të merren me problemin.
Versioni 2.4.7 qëndroi
Një pjesë konkrete e lajmit të mirë: serverët publikë në versionin 2.4.7 nuk ishin goditur, sipas Dorierit. Kjo tërheq një vijë midis versionit aktual dhe ndërtimeve më të vjetra me të cilat lidhen kompromisët. Gjithashtu sugjeron që rregullimi, ose të paktën forcimi, është tashmë në degën më të re.
Për operatorët, leximi praktik është i drejtpërdrejtë. Kontrolloni versionin. Nëse është nën 2.4.2, paralajmërimi zbatohet. Nëse është 2.4.7, sulmet e raportuara nuk e arritën atë.
Çfarë u kërkohet operatorëve të bëjnë
Paralajmërimi është një njoftim mbylljeje, jo një shpallje patch-i. BTCPay Server nuk ka publikuar, në faktet e disponueshme, një afat kohor për rregullimin ose një llogari të plotë se cilët serverë u prekën dhe sa bitcoin u morën. Numri i serverëve të kompromentuar, madhësia e humbjeve dhe identiteti i sulmuesve mbeten të panjohura nga të dhënat publike deri më tani.
Gjëja tjetër për t'u vëzhguar është nëse Dorier ose projekti do të ndjekin me një analizë pas ngjarjes që mbulon ngjarjen e mëparshme dhe zbrazjet e portofolave, dhe nëse do të shtyhet një version i përditësuar për operatorët që janë ende në ndërtime para 2.4.2. Deri atëherë, pozicioni më i sigurt për këdo që ekzekuton një server të vjetër të vetë-strehuar është ai që njoftimi tashmë thotë: mbylleni atë.
