خادم BTCPay يحذر من ثغرة حرجة، ويدعو إلى تحديث فوري إلى الإصدار v2.4.2

يُحث خادم BTCPay على التحديث الفوري بعد استغلال نشط يمكنه سرقة الأموال حذّر خادم BTCPay المستخدمين في 7 أغسطس من تثبيت الإصدار 2.4.2 فورًا بعد اكتشاف ثغرة حرجة يتم استغلالها نشطًا و"يمكن أن تؤدي إلى فقدان الأموال"، وفقًا لما أعلنه المشروع عبر حسابه الرسمي على X. ما يجب على المشغلين فعله الآن: - قم بالتحديث فورًا باستخدام واجهة الصيانة المدمجة في الخادم: لوحة التحكم الإدارية → الخادم → الصيانة → تحديث. - تأكد من أن تذييل الخادم يُظهر الإصدار 2.4.2. - إذا لم تستطع تطبيق التصحيح فورًا، أوقف خادم BTCPay الخاص بك حتى تتمكن من تثبيت الإصدار المصحح. يُوصي المشروع صراحةً بإيقاف تشغيل الخوادم المتأثرة لمنع الوصول غير المصرح به الإضافي. ما هو معروف — وما ليس معروفًا: - وصف خادم BTCPay العيب بأنه حرجة وتأكيد استغلاله نشطًا. - لم يكشف الفريق عن الإصدارات الأقدم المعرضة للخطر، أو كيفية حصول المهاجمين على الوصول، أو عدد الحالات التي تم اختراقها، أو ما إذا كانت هناك أي أموال قد فقدت. - لم تُنشر أي مؤشرات على الاختراق أو تفاصيل تقنية حتى الآن، لذا قد يكون لدى المشغلين وسائل محدودة لتحديد ما إذا كانوا مستهدفين. لماذا هذا مهم: خادم BTCPay هو معالج دفع مفتوح المصدر ومُستضاف ذاتيًا يسمح للتجار بقبول مدفوعات البيتكوين واللايتنيغ على البنية التحتية التي يتحكمون بها. هذا النموذج غير الوسيط يقلل الاعتماد على الأطراف الثالثة، لكنه يعني أيضًا أن المشغلين الأفراد مسؤولون عن التحديثات والأمان. يمكن أن يؤدي التثبيت المخترق إلى كشف عمليات الدفع أو وظائف خادم حساسة أخرى حسب طبيعة الثغرة. السياق الأوسع: يتبع هذا الإعلان حادث أمني حديث في محفظة Zeus، التي أوقفت أنظمتها مؤقتًا بعد هجوم سيبراني؛ وأبلغت Zeus عن عدم فقدان أي أموال للعملاء، وقالت إن تحقيقها لم يكتشف أي ثغرة في برنامج عقدة اللايتنيغ. لا يوجد حاليًا أي دليل يربط الحادثين. زادت مراجعات الأمان عبر نظام البيتكوين: حدد فريق Bitcoin Red Team التطوعي ما يقرب من 5000 مشكلة محتملة عبر 390 مشروعًا، مع تصنيف 720 منها كعالية أو حرجة. الخلاصة: عامل هذا كإجراء أمني طارئ، وليس صيانة روتينية: قم بالتحديث إلى الإصدار 2.4.2 عبر الواجهة الرسمية للخادم أو أوقف تشغيل الخادم حتى تتمكن من ذلك. كما ينبغي للمشغلين مراجعة نشاط الخادم بحثًا عن علامات على الوصول غير المصرح به، علماً أنه لم يتم تقديم مؤشرات رسمية على الاختراق بعد. قد تُنشر تفاصيل تقنية إضافية بمجرد أن يتم تحديث عدد كبير من المستخدمين، وعندما لا يزيد الإعلان العام من المخاطر على الأنظمة غير المحدثة.