BTCPay Server попередив про критичну вразливість з активною експлуатацією та закликав терміново оновитися до v2.4.2

BTCPay Server 7 серпня закликав користувачів негайно встановити версію 2.4.2 після виявлення критичної вразливості, яку вже активно експлуатують і яка "може призвести до втрати коштів". Проєкт повідомив про це в офіційному акаунті в X. Що потрібно зробити зараз — Негайно оновитися через вбудований інтерфейс обслуговування сервера: Admin Dashboard → Server → Maintenance → Update. — Переконатися, що у футері сторінки сервера відображається версія 2.4.2. — Якщо застосувати патч одразу неможливо, вимкнути BTCPay Server до моменту встановлення виправленого релізу. Команда прямо рекомендує вивести уражені інсталяції з мережі, щоб унеможливити подальший несанкціонований доступ. Що відомо і чого поки немає BTCPay Server класифікує проблему як критичну та підтверджує активну експлуатацію. Водночас команда не розкрила, які саме попередні версії є вразливими, яким чином зловмисники отримують доступ, скільки інсталяцій могло бути скомпрометовано та чи були фактичні втрати коштів. Індикатори компрометації та технічні подробиці наразі не опубліковані, тому операторам може бути складно визначити, чи були вони мішенню. Чому це важливо BTCPay Server — опенсорсний, самохостинговий платіжний процесор, який дає змогу мерчантам приймати платежі в Bitcoin і Lightning на власній інфраструктурі. Некостодіальна модель зменшує залежність від третіх сторін, але переносить відповідальність за оновлення та безпеку на конкретних операторів. У разі компрометації інсталяції під ризиком можуть опинитися платіжні процеси та інші чутливі функції сервера залежно від характеру вразливості. Ширший контекст Повідомлення з'явилося на тлі нещодавнього інциденту з Zeus Wallet, який тимчасово відключав системи після кібератаки; Zeus заявив, що кошти клієнтів не постраждали, а розслідування не виявило вразливості в ПЗ Lightning-ноди. Ознак зв'язку між двома випадками наразі немає. У Bitcoin-екосистемі посилилася увага до безпеки: волонтерська команда Bitcoin Red Team нещодавно відзначила майже 5 000 потенційних проблем у 390 проєктах, із них 720 знахідок отримали оцінку high або critical. Висновок Ситуацію слід розглядати як екстрений захід кібербезпеки, а не планове обслуговування: оновіть BTCPay Server до v2.4.2 через офіційний інтерфейс або вимкніть сервер, доки не зможете встановити виправлення. Операторам також варто переглянути активність сервера на предмет несанкціонованого доступу, враховуючи, що формальні індикатори компрометації поки не надані. Технічних деталей може побільшати після того, як більшість користувачів встановить патч і публікація не підвищуватиме ризики для тих, хто ще не оновився.