BTCPay Server предупредил о критической уязвимости и призвал срочно обновиться до v2.4.2

BTCPay Server 7 августа призвал пользователей немедленно установить версию 2.4.2 после выявления критической уязвимости, которая уже активно эксплуатируется и "может привести к потере средств". Об этом проект сообщил в официальном аккаунте в X. Что нужно сделать операторам прямо сейчас — Срочно обновиться через встроенный интерфейс обслуживания: Admin Dashboard → Server → Maintenance → Update. — Убедиться, что в нижней части страницы сервера отображается версия 2.4.2. — Если установить патч немедленно невозможно, отключить BTCPay Server до момента установки исправленного релиза. Команда отдельно рекомендует выводить потенциально затронутые серверы из сети, чтобы перекрыть дальнейший несанкционированный доступ. Что известно — и что пока не раскрывают BTCPay Server присвоил проблеме статус критической и подтвердил факт активной эксплуатации. При этом команда не уточнила, какие именно более старые версии подвержены риску, каким образом злоумышленники получают доступ, сколько установок могло быть скомпрометировано и были ли фактические потери средств. Индикаторы компрометации и технические детали пока не опубликованы, из-за чего у операторов может быть ограниченный набор способов понять, становились ли они целью атаки. Почему это важно BTCPay Server — opensource-решение для самостоятельного размещения платежной инфраструктуры, позволяющее мерчантам принимать платежи в Bitcoin и через Lightning на серверах под собственным контролем. Некостодиальная модель снижает зависимость от третьих сторон, но переносит ответственность за обновления и безопасность на владельцев инсталляций. В случае компрометации могут пострадать платежные операции и другие чувствительные функции сервера — в зависимости от характера уязвимости. Контекст рынка Сообщение появилось вскоре после инцидента с Zeus Wallet, который временно отключал системы из-за кибератаки; Zeus заявил, что средства клиентов не пострадали, а расследование не выявило уязвимости в ПО Lightning-ноды. Связи между двумя случаями на данный момент не установлено. В целом проверки безопасности в экосистеме Bitcoin усиливаются. Добровольческая команда Bitcoin Red Team недавно указала почти на 5 000 потенциальных проблем в 390 проектах, из них 720 находок получили оценку high или critical. Вывод Ситуацию следует воспринимать как экстренное действие по безопасности, а не плановое обслуживание: обновитесь до v2.4.2 через официальный интерфейс сервера либо отключите сервер до возможности установки. Операторам также стоит просмотреть активность на сервере на предмет признаков несанкционированного доступа, учитывая, что формальные индикаторы компрометации пока не предоставлены. Дополнительные технические подробности могут появиться позже, когда значительная часть пользователей установит патч и публикация деталей перестанет повышать риск для не обновившихся систем.