وصله اضطراری BTCPay خطر امنیتی بیت کوین طرف تاجر را در معرض خطر قرار می دهد

یک به‌روزرسانی اضطراری توسط BTCPay Server، نرم‌افزار متن‌بازی که تجار برای پذیرش بیت‌کوین از آن استفاده می‌کنند، به‌دلیل یک آسیب‌پذیری برای سرقت احتمالی وجوه از کاربران، منتشر شده است. همانطور که در GitHub pull request #7491 شناسایی شد، این آسیب‌پذیری مجرمان سایبری را قادر می‌سازد تا مکانیسم امنیتی دو عاملی TOTP را از طریق احراز هویت پایه Greenfield API BTCPay دور بزنند. دلیل این آسیب‌پذیری در این واقعیت نهفته است که مکانیسم احراز هویت به جای اینکه واقعاً بررسی کند که آیا سیستم دو عاملی حتی فعال است یا خیر، بررسی می‌کند که آیا اعتبارنامه‌های معتبر FIDO2 ثبت شده‌اند یا خیر. بنابراین، حساب های ایمن شده با یک برنامه احراز هویت TOTP می توانند تنها با استفاده از ایمیل و اعتبار خود به API دسترسی داشته باشند. توجه به این نکته مهم است که این آسیب‌پذیری در لایه کاربردی BTCPay وجود دارد، نه در پروتکل بیت‌کوین (BTC). BTCPay نسخه 2.4.2 نرم افزار خود را در 7 آگوست راه اندازی کرده است و در عین حال به کاربران توصیه می کند که مطمئن شوند به نسخه 2.6.10 NBXplorer به روز شده اند. نرم افزار ارتقا یافته یک "آسیب پذیری حیاتی" را که در حال حاضر در حال سوء استفاده است، برطرف می کند. بازاری که از ترس پرداخت ها شانه خالی کرد علی رغم نگرانی های امنیتی مداوم که سیستم پرداخت را درگیر کرده است، قیمت و ارزش گذاری بیت کوین در بازار نسبتاً ثابت است. بیت کوین در حدود 64889 دلار معامله می شود که تنها 0.82 درصد افزایش نسبت به روز گذشته داشته است، در حالی که ارزش بازار 1.3 تریلیون دلاری آن تنها 0.79 درصد افزایش داشته است.اگرچه فعالیت معاملاتی با افزایش 20.98 درصدی حجم 24 ساعته فعال تر بوده است، قیمت نسبتاً ثابت و ارزش بازار نشان می دهد که این رویداد هنوز تأثیری بر ارزش کلی بازار بیت کوین نداشته است. پاسخ آرام قابل درک است. آسیب‌پذیری BTCPay تنها بر تجار و اپراتورها تأثیر می‌گذارد، نه قوانین اجماع بیت‌کوین یا رمزنگاری. با این حال، این بدان معنا نیست که بی اهمیت است. BTCPay یک پیوند بین شبکه بیت کوین و سیستم های پرداخت مشاغل صادر کننده فاکتور، دریافت پرداخت و مدیریت کیف پول ایجاد می کند. بنابراین، در صورت حمله به حساب اپراتور، علیرغم عملکرد مناسب بلاک چین بیت کوین، ممکن است ضررهای پولی واقعی ایجاد شود. آنچه که BTCPay به اپراتورها گفته است راه حل فوری این مشکل ساده است: سرور BTCPay را به نسخه 2.4.2 ارتقا دهید و برای ادغام کنندگان، NBXplorer را به نسخه 2.6.10 ارتقا دهید. به گفته BTCPay، بهتر است از کلیدهای رابط برنامه نویسی برنامه (API) به جای احراز هویت اولیه استفاده کنید زیرا مجوزها را می توان به طور موثرتری محدود کرد. وصله جدید همچنین تغییراتی را در فرآیند احراز هویت ایجاد کرده است تا بتواند بررسی کند که آیا 2FA واقعاً فعال است یا خیر، در نتیجه شکافی را که حساب‌های محافظت شده با TOTP را قادر می‌سازد تا از سطح دوم احراز هویت اجتناب کنند، ببندد.