BTCPay Server cảnh báo lỗ hổng nghiêm trọng đang bị khai thác, yêu cầu cập nhật ngay lên v2.4.2

BTCPay Server ngày 7/8 phát đi cảnh báo khẩn, kêu gọi người vận hành nâng cấp ngay lên phiên bản 2.4.2 sau khi phát hiện một lỗ hổng mức nghiêm trọng đang bị khai thác thực tế và "có thể dẫn tới thất thoát tiền", theo thông báo trên tài khoản X chính thức của dự án. Việc cần làm ngay - Cập nhật lập tức qua giao diện bảo trì tích hợp của máy chủ: Admin Dashboard → Server → Maintenance → Update. - Xác nhận phần chân trang (footer) của server hiển thị phiên bản 2.4.2. - Nếu chưa thể vá ngay, hãy tắt BTCPay Server cho tới khi cài được bản đã sửa. Dự án khuyến nghị đưa các máy chủ bị ảnh hưởng về trạng thái offline để chặn truy cập trái phép tiếp diễn. Đã biết gì và chưa biết gì BTCPay Server xếp lỗi ở mức critical và xác nhận đang có khai thác. Nhóm phát triển chưa công bố các phiên bản cũ nào bị ảnh hưởng, cách kẻ tấn công giành quyền truy cập, số lượng hệ thống đã bị xâm nhập, hoặc liệu có trường hợp mất tiền hay chưa. Hiện cũng chưa có chỉ dấu xâm nhập (indicators of compromise) hay chi tiết kỹ thuật, khiến người vận hành gặp hạn chế khi tự kiểm tra liệu hệ thống có bị nhắm tới hay không. Vì sao đáng lo ngại BTCPay Server là bộ xử lý thanh toán mã nguồn mở, tự lưu trữ, cho phép doanh nghiệp nhận thanh toán Bitcoin và Lightning trên hạ tầng do chính họ kiểm soát. Mô hình không lưu ký giúp giảm phụ thuộc bên thứ ba, nhưng đồng thời đặt trách nhiệm cập nhật và bảo mật lên từng đơn vị vận hành. Nếu bị xâm phạm, hệ thống có thể làm lộ hoạt động thanh toán hoặc các chức năng nhạy cảm khác của máy chủ, tùy theo bản chất lỗ hổng. Bối cảnh rộng hơn Cảnh báo này xuất hiện sau sự cố an ninh gần đây tại Zeus Wallet, khi dịch vụ tạm thời đưa hệ thống offline sau một cuộc tấn công mạng; Zeus cho biết không có tiền của khách hàng bị mất và quá trình điều tra không phát hiện lỗ hổng trong phần mềm node Lightning. Hiện chưa có bằng chứng cho thấy hai sự việc có liên quan. Các hoạt động rà soát bảo mật trong hệ sinh thái Bitcoin cũng đang được đẩy mạnh. Nhóm tình nguyện Bitcoin Red Team gần đây đã nêu gần 5.000 vấn đề tiềm ẩn trên 390 dự án, trong đó 720 phát hiện được xếp hạng cao hoặc nghiêm trọng. Kết luận Đây là hành động ứng phó khẩn cấp, không phải bảo trì định kỳ: hãy cập nhật lên v2.4.2 bằng giao diện chính thức của server, hoặc tắt máy chủ cho tới khi có thể vá. Người vận hành cũng nên rà soát hoạt động hệ thống để tìm dấu hiệu truy cập trái phép, trong bối cảnh các chỉ dấu xâm nhập chính thức vẫn chưa được cung cấp. Thông tin kỹ thuật có thể sẽ được công bố sau khi đủ nhiều người dùng đã cập nhật, nhằm tránh làm tăng rủi ro cho các hệ thống chưa vá.