BTCPay Server, 1 Kasım'da saldırganların kendi barındırılan ödeme sunucularına bağlı sıcak cüzdanlardan bitcoin çektiği yönündeki raporların ardından acil kapatma uyarısı yayınladı. Kurucu Nicolas Dorier, bildirilen ihlalleri 2.4.2 öncesi BTCPay Server sürümleriyle ilişkilendirdi. 2.4.7 sürümünü çalıştıran genel sunucuların saldırıya uğramadığını söyledi.
Eski kurulumların karşı karşıya olduğu durum
Uyarı, satıcıların aracı olmadan bitcoin kabul etmek için kendi yönettikleri kurulumlar olan kendi barındırılan ödeme sunucularına odaklanıyor. Bu sunuculara bağlı sıcak cüzdanlar fonları çevrimiçi tutar, bu da bir saldırgan içeri girmenin bir yolunu bulduğunda onları canlı bir hedef haline getirir. Dorier'in mesajı, giriş yolu olarak eski kodu işaret ediyor: 2.4.2 öncesi her şey etki alanında.
Bu geniş bir ağ. BTCPay Server açık kaynaklı ve ücretsizdir, bu nedenle kurulu taban barındırılan bir hizmetinki gibi izlenmez. Yıllar önce bir sunucu kurup ona hiç dokunmayan herkes bugün hâlâ 2.4.2 öncesi bir sürüm çalıştırıyor olabilir.
Üç günlük boşluk
Mevcut bilgilere göre kapatma uyarısı, belirtilmemiş bir önceki olaydan üç gün sonra geldi. Kaynak materyal, o önceki olayın ayrıntılarını kesiyor, bu nedenle kayıtlardan bunun ilgili bir ihlal mi, bir açıklama mı yoksa başka bir şey mi olduğu net değil. Net olan sıralama: bir şey oldu ve üç gün sonra BTCPay Server operatörlere kapatmalarını söyledi.
Acil kapatma bildirimleri sert araçlardır. Çalışma süresini güvenlikle değiştirirler ve bir ödeme işlemcisi için bu, ödeme için sunucuya güvenen satıcıların sorunla ilgilenene kadar onu kaybetmesi anlamına gelir.
2.4.7 sürümü dayandı
Somut bir iyi haber: Dorier'e göre 2.4.7 sürümündeki genel sunucular vurulmamıştı. Bu, mevcut sürüm ile ihlallerin ilişkilendirildiği eski sürümler arasında bir çizgi çekiyor. Aynı zamanda düzeltmenin, ya da en azından sağlamlaştırmanın, zaten daha yeni dalda olduğunu gösteriyor.
Operatörler için pratik okuma basittir. Sürümü kontrol edin. 2.4.2'nin altındaysa uyarı geçerlidir. 2.4.7 ise bildirilen saldırılar ona ulaşmadı.
Operatörlerden ne yapmaları isteniyor
Uyarı bir kapatma bildirimidir, bir yama duyurusu değil. BTCPay Server, mevcut gerçeklerde bir düzeltme takvimi veya hangi sunucuların etkilendiği ve ne kadar bitcoin alındığına dair tam bir hesap yayınlamadı. İhlal edilen sunucuların sayısı, kayıpların büyüklüğü ve saldırganların kimliği şu ana kadar kamuya açık kayıtlardan bilinmiyor.
İzlenecek sonraki şey, Dorier'in veya projenin önceki olayı ve cüzdan boşaltmalarını kapsayan bir olay sonrası analizle takip edip etmeyeceği ve hâlâ 2.4.2 öncesi sürümlerde olan operatörler için güncellenmiş bir sürümün yayınlanıp yayınlanmayacağı. O zamana kadar, eski bir kendi barındırılan sunucu çalıştıran herkes için en güvenli konum, bildirimin zaten belirttiği konumdur: kapatın.
