BTCPay Server, bazı kullanıcılarının sıcak cüzdanlarındaki bitcoinlerinin izinsiz şekilde boşaltıldığına ilişkin bildirimlerin artması üzerine sunucu sahiplerine sistemlerini geçici olarak kapatmaları çağrısında bulundu. Açık kaynaklı ödeme aracı, kullanıcıların güvenliği sağlanana kadar sunucularını çevrimdışı tutmaları gerektiğini belirtti.
İnceleme sürüyor
BTCPay Server, işletmelerin bitcoin ödemelerini kendi cüzdanlarına alabilmesini sağlayan ücretsiz ve açık kaynaklı bir yazılım olarak işlev görüyor. Bu sistem, aracı bir kurum ya da saklama hizmeti kullanmaksızın çalışıyor ancak sıcak cüzdanların internet bağlantılı olması güvenlik açıklarını da beraberinde getiriyor.
Proje ekibi, belirli sunucuların sıcak cüzdanlarının tamamen boşaltılmasına yönelik bildirimler aldıklarını duyurdu. Şimdilik etkilenen sunucu sayısı ya da toplam zarar konusunda bir açıklama yapılmadı. Ekip, herhangi bir çözüm yayımlanamadan incelemelerin sürdüğünü belirtti.
Proje ekibi, “Yetkisiz saldırganların bazı BTCPay sunucularındaki sıcak cüzdanları boşalttığı yönünde bildirimler aldık. Buna istinaden kullanıcıların, inceleme sonuçlanana kadar sistemlerini kapalı tutması gerekiyor.” açıklamasını yaptı.
BTCPay Server’ın yapısı gereği, her işletme yazılımı kendi sunucusunda çalıştırıyor. Bu nedenle merkezi bir kapatma mekanizması bulunmuyor. Çağrının doğrudan sunucu sahiplerine yapılmasının sebebi de bu. Sistemlerin çevrimdışı hale getirilmesi kullanıcıların inisiyatifinde.
Sıcak cüzdan riski öne çıktı
Sıcak cüzdanlar, hızlı bir ödeme akışı sağlasa da, gizli bilgilerin sunucuda tutulması güvenlik risklerine yol açıyor. Sunucuya izinsiz erişim sağlandığında, cüzdan içindeki fonlar da taşınabiliyor. BTCPay Server dokümantasyonu, bu tür cüzdanların kullanımına ilişkin güvenlik uyarıları içeriyor.
Nicolas Dorier, ilk incelemelerin eski 2.4.2 sürümüne işaret ettiğini paylaştı. Proje ekibinin, 2.4.7 sürümünde çalışan kamuya açık sunucularının saldırıya uğramadığını, ancak daha yeni sürümlerin kesinlikle güvenli olduğuna dair bir garanti veremediklerini dile getirdi.
Nicolas Dorier, “Gelen bildirimler BTCPay Server’ın 2.4.2 sürümünden eski yayımlarıyla ilişkili görünüyor. Ancak saldırganların yönetici erişimini nasıl elde ettiğini henüz tespit edemedik.” dedi.
Eski açık yeniden gündemde
Dorier, saldırıya uğrayan sunucularda saldırganların yönetici hesabıyla oturum açtıklarını, bu hesabın sistemde en yüksek düzeyde yetki sağladığını belirtti. Ekip, bu erişimin nasıl elde edildiğini tam olarak belirleyebilmiş değil.
BTCPay Server, ağustos ayında 2.4.2 öncesi sürümlerde bulunan başka bir güvenlik açığını doğrulamıştı. Bu açık, bir kişinin Lightning altyapısında kullanılan kimlik bilgisi dosyalarını ele geçirmesine imkan veriyordu. Bunun üstesinden 2.4.2 sürümüyle gelinmişti ama son saldırılar, bu konudaki hassasiyetin devam ettiğini gösteriyor.
Güvenlik tartışmalarının arttığı bu dönemde BTCPay Server, incelemelerini hızlandırarak kullanıcılarını güven altına almayı amaçlıyor. Ancak net sonuçlar elde edilene kadar kullanıcıların dikkatli olmaları gerektiğinin altı çiziliyor.
