Parche de emergencia de BTCPay expone riesgos de seguridad de Bitcoin para comerciantes

BTCPay Server, el software de código abierto que los comerciantes utilizan para aceptar Bitcoin, ha lanzado una actualización de emergencia debido a una vulnerabilidad que está siendo explotada para robar potencialmente fondos de los usuarios.

Como se identificó en el GitHub pull request #7491, esta vulnerabilidad permite a los cibercriminales eludir el mecanismo de seguridad de dos factores TOTP a través de la Greenfield API Basic Authentication de BTCPay. La razón de la vulnerabilidad radica en el hecho de que el mecanismo de autenticación comprobaba si se habían registrado credenciales FIDO2 válidas en lugar de comprobar si el sistema de dos factores estaba realmente habilitado. Por lo tanto, las cuentas aseguradas con una aplicación de autenticación TOTP podían acceder a la API utilizando solo su correo electrónico y credenciales.

Es importante señalar que la vulnerabilidad existe dentro de la capa de aplicación de BTCPay, no en el protocolo Bitcoin (BTC).

BTCPay lanzó la versión 2.4.2 de su software el 7 de agosto, al tiempo que aconsejó a los usuarios que se aseguren de haber actualizado a la versión 2.6.10 de NBXplorer. El software actualizado aborda una “vulnerabilidad crítica” que está siendo explotada actualmente.