Açık kaynaklı bir kripto para ödeme işlemcisi olan BTCPay Server projesinin yetkilileri, yazılımın eski sürümlerini çalıştıran sunuculara bağlı "sıcak cüzdanları" (Hot Wallets) boşaltmayı hedefleyen bir dizi saldırının tespit edilmesinin ardından acil bir güvenlik uyarısı yayınladı.
Güvenlik Açığının Detayları
Projenin kurucusu Nicolas Dorier, yapılan incelemelerin özellikle 2.4.2 sürümünden önceki sürümleri hedefleyen bir saldırı vektörünü ortaya çıkardığını ve saldırganların bu sunucularda yönetici (Administrator) yetkilerine erişebildiğini doğruladı. Daha önce Anthropic şirketinin Frontier OSS tarama aracı aracılığıyla kritik bir açık keşfedilmiş, bu da ekibi 2.4.7 acil güvenlik güncellemesini yayınlamaya sevk etmişti.
Ekip, saldırıların genel sunucuları hedef almadığını, bunun yerine güncellenmemiş kendi kendine barındırılan (self-hosted) örneklerine odaklandığını belirtti. Şu ana kadar, 2.4.7 sürümüne yükseltme yapan kullanıcıların saldırıya uğradığına dair güvenilir bir rapor bulunmuyor.
Kullanıcılar Ne Yapmalı?
Proje, özellikle hala 2.4.1 veya daha eski sürümleri kullanan kullanıcılar için dijital varlıkları korumak adına acil önlemler alınması gerektiğini vurguladı:
- Acil Güncelleme: Tüm operatörler sunucu ayarları (Server Settings → Maintenance → Update) üzerinden 2.4.7 sürümüne yükseltme yapmalıdır.
- Sunucuları Durdurma: Güncelleme işlemi tamamlanana kadar etkilenen sunucuların tedbir amaçlı olarak derhal durdurulması şiddetle tavsiye edilir.
- Docker Kullanıcıları İçin: Güncelleme, SSH üzerinden sunucuya erişilerek, kurulum dizinine (btcpayserver-docker) girilerek ve güncelleme komutu (./btcpay-update.sh) çalıştırılarak yapılabilir.
Bu Haber Neden Önemli?
Bu uyarının önemi, BTCPay Server'ın kendi kendine barındırılan bir ödeme çözümü olmasından kaynaklanmaktadır; kullanıcı, herhangi bir aracı olmaksızın sunucusunun ve dijital varlıklarının güvenliğinden tamamen sorumludur. Yönetici erişim açıklarının istismar edilmesi, saldırganların ödeme işlemlerini ve doğrulamalarını tamamen kontrol edebileceği anlamına gelir ve bu da tüccarların ve kullanıcıların fonlarını doğrudan tehdit eder. Ekip, mağdur olanların olay detaylarını güvenlik e-posta adreslerine (security@btcpayserver.org) göndermelerini ve fon kaybı durumunda yerel makamlara bildirimde bulunmalarını istedi.