BTCPayの緊急パッチにより加盟店側のBitcoinセキュリティリスクが浮き彫りに

Bitcoinを受け入れるために商人が使用するオープンソースソフトウェアであるBTCPay Serverによって、ユーザーから資金を盗むために悪用される可能性がある脆弱性のため、緊急アップデートが展開されました。

GitHub pull request #7491で特定されたように、この脆弱性により、サイバー犯罪者はBTCPayのGreenfield API Basic Authenticationを通じてTOTP二要素セキュリティメカニズムを回避することができます。脆弱性の理由は、認証メカニズムが二要素システムが有効化されているかどうかを実際に確認するのではなく、有効なFIDO2資格情報が登録されているかどうかを確認していた事実にあります。したがって、TOTP認証アプリケーションで保護されたアカウントは、メールアドレスと資格情報のみを使用してAPIにアクセスできる可能性がありました。

この脆弱性はBitcoin (BTC)プロトコルではなく、BTCPayのアプリケーション層内に存在することに注意することが重要です。

BTCPayはAugust 7にソフトウェアのversion 2.4.2をリリースし、同時にユーザーに対しNBXplorerのversion 2.6.10にアップデートしたことを確認するようアドバイスしています。アップグレードされたソフトウェアは、現在悪用されている「重大な脆弱性」に対処しています。

決済の不安を無視した市場

決済システムを悩ませている継続的なセキュリティ上の懸念にもかかわらず、Bitcoinの市場価格と評価額は比較的安定しています。Bitcoinは約$64,889で取引されており、これは前日からわずか0.82%の増加であり、一方でその$1.3 trillionの時価総額は0.79%の上昇にとどまっています。24時間のボリュームが20.98%増加し、取引活動はより活発になっていますが、かなり安定した価格と時価総額は、この事件がBitcoinの全体的な市場評価にまだ影響を与えていないことを示しています。

この控えめな反応は理解できます。BTCPayの脆弱性は個々の商人やオペレーターにのみ影響し、Bitcoinのコンセンサスルールや暗号技術には影響しません。

しかし、それが重要ではないという意味ではありません。BTCPayは、請求書の発行、支払いの受け取り、ウォレットの管理を行う企業の決済システムとBitcoinネットワークの間にリンクを作成します。したがって、オペレーターアカウントへの攻撃が発生した場合、Bitcoinブロックチェーンが適切に機能しているにもかかわらず、実際の金銭的損失を引き起こす可能性があります。

BTCPayがオペレーターに指示したこと

この問題に対する即時の解決策は単純です。BTCPay Serverをversion 2.4.2にアップグレードし、インテグレーターの場合はNBXplorerをversion 2.6.10にアップグレードすることです。