Bitcoin ödeme yazılımı BTCPay Server, bazı sıcak cüzdanların saldırganlar tarafından boşaltıldığına ilişkin bildirimler üzerine sunucu işleten kullanıcılardan inceleme tamamlanana kadar sistemlerini kapatmalarını istedi.
İşletmelerin aracı olmadan doğrudan kendi cüzdanlarına Bitcoin ödemesi kabul etmesini sağlayan BTCPay Server, 1 Kasım Pazar günü güvenlik uyarısı yayımladı. CoinDesk’in aktardığı açıklamada proje, bazı sunuculardaki sıcak cüzdanlardan yetkisiz kişilerce fon taşındığına dair raporlar aldığını belirtti.
İlk uyarıda belirli bir sürümle sınırlama yapılmadan, BTCPay Server çalıştıranların inceleme bitene kadar sunucularını kapatması istendi. Etkilenen sunucu sayısı ve toplam kayıp miktarı henüz açıklanmadı.
İlk bulgular eski sürümlere işaret ediyor
Yaklaşık iki saat sonra açıklama yapan kurucu Nicolas Dorier, hırsızlık bildirimlerinin 2.4.2’den eski BTCPay Server sürümlerini kapsıyor gibi göründüğünü söyledi. Dorier, projenin 2.4.7 sürümünü kullanan kendi herkese açık sunucularının saldırıya uğramadığını da aktardı.
Bu açıklama, yeni sürümlerin tamamının güvenli olduğuna ilişkin bir teyit içermiyordu. İlk kapatma çağrısı da yalnızca eski sürüm kullanıcılarına yönelik değildi.
Dorier’e göre saldırgan, etkilenen sunucularda yönetici hesabıyla oturum açtı. Bu yetkinin nasıl ele geçirildiği araştırılıyor; olayın giriş yolu henüz netleşmiş değil.
Sıcak cüzdanlar neden risk altında?
BTCPay Server, işletmelerin kendi sunucularında çalıştırdığı açık kaynaklı bir yazılım. Sıcak cüzdan seçeneğinde para göndermek için gereken gizli bilgiler internete bağlı sunucuda tutulabiliyor ve işlemler burada imzalanabiliyor. Böylece ödeme göndermek kolaylaşırken sunucunun kontrolünü ele geçiren biri de cüzdandaki fonlara erişme imkânı bulabiliyor.
Her işletme kendi kurulumunu yönettiği için proje ekibi tüm sunucuları merkezden durduramıyor. Kullanıcılara yapılan kapatma çağrısının nedeni de bu: Önlemin her sunucu sahibi tarafından uygulanması gerekiyor.
Ağustosta da eski sürümlerde açık giderilmişti
BTCPay, ağustos ayında 2.4.2’den eski sürümlerde saldırganların LND kimlik bilgisi dosyalarına ulaşabildiği bir güvenlik açığını doğrulamıştı. Bitcoin’in Lightning ödeme ağı üzerinde düğüm çalıştırmak için kullanılan bu yazılıma ait bilgiler, fonların taşınmasına imkân verebiliyordu. Söz konusu açık 2.4.2 sürümünde giderilmişti.
Son olayda yönetici erişiminin nasıl sağlandığı henüz belirlenmediğinden, yeni bildirimlerle ağustostaki açık arasındaki bağlantı da kesinleşmiş değil.
Yatırım tavsiyesi değildir.
