BTCPayサーバーが、現在悪用されている重大なバグを修正

攻撃が活発に行われていることが確認されました。直ちにアップデートが必要です。

@BtcpayServer 攻撃者が自社ソフトウェアの重大な脆弱性を積極的に悪用していることを確認したため、緊急セキュリティ勧告を発令した。 8月7日に公開された通知の中で、オープンソースのビットコイン決済処理システムは、システム管理者に対し、インストール環境を直ちにバージョン2.4.2にアップデートするよう促し、古いバージョンを実行しているシステムは脆弱性にさらされたままであり、この欠陥により資金が失われる可能性があると警告した。

BTCPay Serverは、個人や企業がビットコイン決済を受け付けることができる、無料のオープンソースのセルフホスト型ビットコイン決済処理サービスです。 $ BTC また、手数料や仲介業者を介さずに、Lightning決済を直接利用できます。 この構造は、中央集権型の決済プロバイダーへの依存度を低減させる一方で、ソフトウェアのアップデートに関する責任を個々の加盟店とサーバー管理者に負わせることになる。

オペレーターは、サーバーメンテナンスパネルから最新リリースをインストールし、アップデート後にフッターにバージョン2.4.2が表示されていることを確認するよう指示されています。 すぐにアップデートできない場合は、パッチを適用できるまで不正アクセスを防ぐため、BTCPayサーバーを完全に停止するように指示されています。

責任あるセキュリティ情報開示を行ったことで評価されているビットコイン・レッドチームは、プロジェクトが脆弱性に対処するのに役立つ詳細情報を提供した。 システムインテグレーターは、メインサーバーのアップデートと同時に、NBXplorerもバージョン2.6.10にアップグレードする必要があります。

パッチ適用後の手順と残された不確実性

アップデートの適用は、修復作業の一部にすぎません。チームによると、パッチ適用後、オペレーターはマカロンとバックエンド認証情報も完全に更新する必要があるとのことです。BTCPay内で生成されたホットウォレットに保管されている資金は、ウォレットを再作成する前にすべて移動させる必要があります。

プロジェクトのリリースノートには、「今回のリリースには、現在悪用されている重大な脆弱性の修正が含まれています。できるだけ早くアップデートしてください。」と記載されています。

チームは資金が危険にさらされている可能性があることを認めたものの、何人のユーザーが被害に遭ったのか、またどれだけの金額が失われたのかは依然として不明である。攻撃に関する詳細は現時点では限られている。 BTCPayサーバーは、攻撃方法や総損失額を公表していない。

The Block：BTCPayは、資金流出につながる可能性のある悪用されている脆弱性について警告を発する。 | Crypto.news：BTCPayサーバーが、資金流出の恐れのあるアクティブなエクスプロイトについて警告 | Crypto Times：BTCPayサーバーがビットコイン資金を危険にさらす重大な欠陥を警告