BTCPay Server kopplar stölder från heta plånböcker till äldre versioner

BTCPay Server uppger att en angreppsmetod riktades mot självhostade betalningsinstanser med version 2.4.1 eller äldre, efter rapporter om att angripare tömt heta plånböcker. Projektet har uppmanat operatörer att uppdatera till version 2.4.7.

BTCPay Server gör det möjligt för företag att ta emot Bitcoin och andra digitala tillgångar direkt i sina egna plånböcker. Projektets underhållare rådde först operatörer att stänga av servrarna medan de obehöriga betalningarna utreddes.

Grundaren Nicolas Dorier sade att angreppen inte riktades mot offentliga servrar. Utredningen undersökte hur en angripare kunde logga in som administratör på instanser med versioner äldre än 2.4.2. Projektet uppgav att det inte hade fått några trovärdiga rapporter om tömda heta plånböcker på den senaste versionen, 2.4.7.

Den 29 oktober berättade BTCPay Server om en kritisk sårbarhet som upptäckts med Anthropic’s Frontier OSS-skanner och släppte version 2.4.7 som en akut säkerhetsuppdatering. Projektet bekräftade senare att den aktuella angreppsmetoden berörde versioner äldre än 2.4.2, men har inte klargjort vilken sårbarhet som utnyttjades.

Version 2.4.2, som släpptes den 7 augusti, åtföljdes av en varning om en aktivt utnyttjad sårbarhet som exponerade LND-autentiseringsfiler och kunde låta angripare ta kontroll över berörda Lightning-noder och stjäla tillgångar. BleepingComputer uppgav att tidningen inte hade fått svar på sina frågor om de aktuella angreppen före publiceringen. Projektet bad berörda användare skicka uppgifter och aktivitetsloggar till säkerhetsteamet.