خادم BTCPay يحذّر من ثغرة حرجة قيد الاستغلال ويدعو للتحديث الفوري إلى الإصدار 2.4.2

دعا مشروع BTCPay Server المستخدمين إلى تثبيت الإصدار 2.4.2 فوراً بعد رصد ثغرة أمنية حرجة يجري استغلالها بشكل نشط وقد "تؤدي إلى فقدان الأموال"، بحسب ما أعلنه عبر حسابه الرسمي على منصة X في 7 أغسطس. ما الذي ينبغي على المشغّلين فعله الآن - نفّذ التحديث فوراً عبر واجهة الصيانة المدمجة: لوحة الإدارة → الخادم → الصيانة → تحديث. - تحقّق من ظهور الإصدار 2.4.2 في تذييل صفحة الخادم. - إذا تعذّر تطبيق التصحيح مباشرة، أوقف تشغيل BTCPay Server إلى حين تثبيت النسخة المُصحّحة. ويوصي المشروع صراحةً بإخراج الخوادم المتأثرة من الخدمة لمنع أي وصول غير مصرح به. ما المعروف حتى الآن وما لم يُكشف يصنّف BTCPay Server العيب على أنه "حرج" ويؤكد أنه قيد الاستغلال. في المقابل، لم يحدد الفريق الإصدارات الأقدم المتأثرة، ولا طريقة حصول المهاجمين على الوصول، ولا عدد الحالات التي تم اختراقها، ولا ما إذا كانت هناك خسائر فعلية في الأموال. كما لم تُنشر حتى الآن مؤشرات اختراق أو تفاصيل تقنية، ما يحدّ من قدرة المشغّلين على التحقق إن كانوا قد تعرضوا للاستهداف. لماذا الأمر مهم يُعد BTCPay Server معالج مدفوعات مفتوح المصدر ومستضافاً ذاتياً يتيح للتجار قبول مدفوعات بيتكوين وشبكة Lightning على بنية تحتية يسيطرون عليها. هذا النموذج غير الحاضن يقلل الاعتماد على أطراف ثالثة، لكنه يضع مسؤولية التحديثات والأمن على عاتق المشغّل. وفي حال اختراق التثبيت، قد تتعرض عمليات الدفع أو وظائف أخرى حساسة على الخادم للخطر بحسب طبيعة الثغرة. سياق أوسع يأتي الإفصاح بعد حادثة أمنية حديثة لدى Zeus Wallet، التي أوقفت أنظمتها مؤقتاً عقب هجوم سيبراني. وأفادت Zeus بعدم فقدان أموال العملاء، وقالت إن تحقيقها لم يعثر على ثغرة في برمجيات عقد Lightning. لا توجد حالياً أدلة تربط بين الحادثتين. في الوقت نفسه، تتزايد وتيرة مراجعات الأمن داخل منظومة بيتكوين، إذ أشار فريق Bitcoin Red Team التطوعي مؤخراً إلى نحو 5,000 مشكلة محتملة عبر 390 مشروعاً، مع تصنيف 720 نتيجة على أنها عالية الخطورة أو حرجة. الخلاصة يُفترض التعامل مع هذه الخطوة كإجراء أمني طارئ وليس صيانة روتينية: حدّث إلى الإصدار 2.4.2 عبر الواجهة الرسمية للخادم أو أوقف تشغيل الخادم إلى أن تتمكن من ذلك. ويُنصح أيضاً بمراجعة نشاط الخادم بحثاً عن مؤشرات وصول غير مصرح به، مع العلم أنه لم تُقدَّم بعد مؤشرات اختراق رسمية. وقد تُنشر تفاصيل تقنية إضافية لاحقاً بعد أن يقوم عدد كافٍ من المستخدمين بتطبيق التصحيح، بما يقلل المخاطر على الأنظمة التي لم تُحدَّث بعد.