BTCPay-Notfall-Patch deckt Bitcoin-Sicherheitsrisiko auf Händlerseite auf

Ein Notfall-Update wurde von BTCPay Server veröffentlicht, der Open-Source-Software, die Händler zur Annahme von Bitcoin verwenden, da eine Sicherheitslücke ausgenutzt wird, um potenziell Gelder von Benutzern zu stehlen.

Wie im GitHub pull request #7491 festgestellt wurde, ermöglicht diese Sicherheitslücke Cyberkriminellen, den TOTP-Zwei-Faktor-Sicherheitsmechanismus über die Greenfield API Basic Authentication von BTCPay zu umgehen. Der Grund für die Sicherheitslücke liegt darin, dass der Authentifizierungsmechanismus prüfte, ob gültige FIDO2-Anmeldedaten registriert waren, anstatt tatsächlich zu prüfen, ob das Zwei-Faktor-System überhaupt aktiviert war. So konnten Konten, die mit einer TOTP-Authenticator-Anwendung gesichert waren, nur unter Verwendung ihrer E-Mail und Anmeldedaten auf die API zugreifen.

Es ist wichtig zu beachten, dass die Sicherheitslücke innerhalb der Anwendungsschicht von BTCPay besteht, nicht im Bitcoin (BTC)-Protokoll.

BTCPay hat am 7. August die Version 2.4.2 seiner Software veröffentlicht und rät den Benutzern gleichzeitig sicherzustellen, dass sie auf die Version 2.6.10 von NBXplorer aktualisiert haben. Die aktualisierte Software behebt eine „kritische Sicherheitslücke“, die derzeit ausgenutzt wird.