BTCPay Server cảnh báo về lỗ hổng nghiêm trọng, khẩn trương cập nhật lên phiên bản v2.4.2

BTCPay Server kêu gọi cập nhật ngay sau khi phát hiện lỗ hổng đang bị khai thác tích cực có thể đánh cắp tiền Vào ngày 7 tháng 8, BTCPay Server cảnh báo người dùng cập nhật ngay lên phiên bản 2.4.2 sau khi phát hiện một lỗ hổng nghiêm trọng đang bị khai thác tích cực và “có thể dẫn đến mất tiền”, dự án cho biết qua tài khoản X chính thức. Những việc người vận hành cần làm ngay: - Cập nhật ngay thông qua giao diện bảo trì tích hợp trên máy chủ: Bảng điều khiển Quản trị → Máy chủ → Bảo trì → Cập nhật. - Xác minh rằng chân trang máy chủ hiển thị phiên bản 2.4.2. - Nếu không thể áp dụng bản vá ngay lập tức, tắt máy chủ BTCPay Server cho đến khi bạn cài đặt phiên bản đã sửa. Dự án khuyến nghị rõ ràng tắt các máy chủ bị ảnh hưởng để ngăn chặn truy cập trái phép thêm. Điều đã biết — và điều chưa biết: - BTCPay Server đã xếp mức độ lỗ hổng này là nghiêm trọng và xác nhận đang bị khai thác tích cực. - Nhóm phát triển chưa tiết lộ các phiên bản cũ nào dễ bị tổn thương, cách kẻ tấn công xâm nhập, có bao nhiêu trường hợp bị xâm phạm, hay đã có tiền bị mất hay chưa. - Chưa có chỉ báo nào về sự xâm phạm hay chi tiết kỹ thuật nào được công bố, do đó người vận hành có thể khó xác định liệu họ có phải là mục tiêu hay không. Tại sao điều này quan trọng: BTCPay Server là một trình xử lý thanh toán mã nguồn mở, tự lưu trữ, cho phép các bên chấp nhận thanh toán chấp nhận thanh toán bitcoin và Lightning trên hạ tầng do họ kiểm soát. Mô hình không giữ tiền này giảm sự phụ thuộc vào bên thứ ba, nhưng đồng nghĩa với việc người vận hành cá nhân chịu trách nhiệm về việc cập nhật và bảo mật. Một cài đặt bị xâm phạm có thể phơi bày các hoạt động thanh toán hoặc các chức năng máy chủ nhạy cảm khác tùy thuộc vào lỗ hổng. Bối cảnh rộng hơn: Thông báo này theo sau một sự cố bảo mật gần đây tại Zeus Wallet, nơi tạm thời tắt hệ thống sau một cuộc tấn công mạng; Zeus báo cáo không có tiền khách hàng bị mất và cho biết cuộc điều tra của họ không phát hiện lỗ hổng trong phần mềm nút mạng Lightning. Hiện tại không có bằng chứng nào liên kết hai sự cố này. Các cuộc rà soát bảo mật trong toàn bộ hệ sinh thái bitcoin đã được tăng cường: Đội Red Team tình nguyện của bitcoin gần đây đã phát hiện gần 5.000 vấn đề tiềm ẩn trên 390 dự án, với 720 phát hiện được đánh giá là cao hoặc nghiêm trọng. Kết luận: Hãy coi đây là hành động khẩn cấp về bảo mật, không phải bảo trì định kỳ: cập nhật lên v2.4.2 thông qua giao diện chính thức của máy chủ hoặc tắt máy chủ cho đến khi bạn có thể. Người vận hành cũng nên xem xét hoạt động máy chủ để tìm dấu hiệu truy cập trái phép, với nhận thức rằng các chỉ báo chính thức về sự xâm phạm vẫn chưa được cung cấp. Các chi tiết kỹ thuật thêm có thể được công bố sau khi một số lượng lớn người dùng đã cập nhật và việc công khai không còn làm tăng rủi ro cho các hệ thống chưa được vá.