BTCPay Server telah mendesak pengguna untuk segera menginstal versi 2.4.2 setelah menemukan bahwa penyerang secara aktif mengeksploitasi kerentanan kritis yang dapat menyebabkan pencurian dana.
BTCPay Server mengeluarkan peringatan melalui akun X resminya pada 7 Agustus, menggambarkan kerentanan tersebut sebagai kritis dan menyatakan bahwa eksploitasi yang berhasil dapat mengakibatkan hilangnya dana.
Proyek ini menginstruksikan administrator server untuk membuka Dasbor Admin dan menavigasi ke Server, Pemeliharaan (Maintenance), dan Pembaruan (Update). Operator kemudian harus mengonfirmasi bahwa nomor versi yang ditampilkan di footer server adalah 2.4.2.
“Terdapat kerentanan kritis yang sedang aktif dieksploitasi di BTCPay Server, yang dapat mengakibatkan hilangnya dana,” kata proyek tersebut.
Pengguna yang tidak dapat segera menyelesaikan pembaruan telah diinstruksikan untuk mematikan BTCPay Server mereka hingga versi yang telah ditambal (patched) dapat diinstal. Tindakan ini dimaksudkan untuk memblokir akses tidak sah lebih lanjut ke server yang mungkin tetap terekspos.
BTCPay Server tidak mengidentifikasi versi sebelumnya mana yang rentan. Mereka juga tidak mengungkapkan bagaimana penyerang mendapatkan akses, berapa banyak server yang telah disusupi, atau apakah ada kerugian yang telah dikonfirmasi.
BTCPay Server adalah prosesor pembayaran sumber terbuka yang memungkinkan pedagang menerima pembayaran Bitcoin dan Lightning Network melalui infrastruktur yang mereka kontrol. Tidak seperti platform pembayaran kustodian, operator bertanggung jawab untuk memelihara dan mengamankan instalasi mereka sendiri.
Struktur tersebut mengurangi ketergantungan pada penyedia pembayaran terpusat tetapi menempatkan tanggung jawab untuk pembaruan perangkat lunak pada pedagang dan administrator server individu. Instalasi yang disusupi dapat mengekspos operasi pembayaran atau fungsi server sensitif lainnya, tergantung pada jangkauan kerentanan.
Rekomendasi proyek untuk mematikan sistem menunjukkan urgensi ancaman tersebut. Operator tidak boleh membiarkan server yang terkena dampak tetap daring sambil menunggu periode pemeliharaan yang nyaman karena BTCPay Server telah mengonfirmasi bahwa eksploitasi sudah terjadi.
Pengguna harus mendapatkan pembaruan melalui antarmuka pemeliharaan resmi server dan memverifikasi string versi 2.4.2. Proyek ini tidak menyarankan pengguna untuk mengandalkan unduhan pihak ketiga atau perbaikan tidak resmi.
Pengungkapan ini menyusul insiden terbaru lainnya yang melibatkan infrastruktur pembayaran Bitcoin. Seperti yang dilaporkan oleh crypto.news, Zeus Wallet mematikan infrastrukturnya setelah mengatasi serangan siber dan mulai mengaudit sistemnya sebelum memulihkan layanan.
Zeus menyatakan bahwa tidak ada dana pelanggan yang hilang atau berisiko. Mereka juga mengatakan penyelidikan mereka tidak mengidentifikasi kerentanan dalam perangkat lunak node Lightning. Saat ini tidak ada bukti yang menunjukkan bahwa insiden Zeus dan kerentanan BTCPay Server saling terkait.
Tinjauan keamanan telah diperluas di seluruh ekosistem Bitcoin menyusul serangkaian serangan baru-baru ini. Crypto.news melaporkan pada 6 Agustus bahwa Bitcoin Red Team yang bersifat sukarela telah menemukan 4.962 potensi masalah saat meninjau 390 proyek terkait Bitcoin.
Kelompok tersebut mengklasifikasikan 720 dari temuan tersebut sebagai tingkat keparahan tinggi atau kritis. Pekerjaan mereka mencakup dompet Bitcoin, pustaka kriptografi, dan perangkat lunak infrastruktur, meskipun mereka tidak secara publik mengidentifikasi proyek dengan kelemahan kritis yang belum teratasi.
Operator BTCPay Server harus memperlakukan peningkatan ini sebagai tindakan keamanan darurat daripada pembaruan perangkat lunak rutin. Server harus tetap offline jika administrator tidak dapat mengonfirmasi bahwa versi 2.4.2 telah diinstal.
Pedagang mungkin juga perlu meninjau aktivitas server untuk mencari tanda-tanda akses tidak sah. Namun, BTCPay Server belum mempublikasikan indikator kompromi atau detail teknis yang dapat digunakan operator untuk menentukan apakah sistem mereka menjadi target.
Informasi lebih lanjut mungkin akan menyusul setelah lebih banyak pengguna menginstal patch dan pengungkapan publik tidak lagi meningkatkan risiko pada server yang belum ditambal. Sampai saat itu, panduan proyek tetap terbatas tetapi lugas: perbarui ke v2.4.2 atau matikan server.
