Le correctif d'urgence de BTCPay révèle un risque de sécurité Bitcoin pour les marchands

Une mise à jour d'urgence a été déployée par BTCPay Server, le logiciel open-source utilisé par les commerçants pour accepter le Bitcoin, en raison d'une vulnérabilité exploitée pour potentiellement voler des fonds aux utilisateurs.

Comme identifié dans la pull request GitHub #7491, cette vulnérabilité permet aux cybercriminels de contourner le mécanisme de sécurité à deux facteurs TOTP via l'authentification de base de l'API Greenfield de BTCPay. La raison de la vulnérabilité réside dans le fait que le mécanisme d'authentification vérifiait si des identifiants FIDO2 valides étaient enregistrés plutôt que de vérifier réellement si le système à deux facteurs était même activé. Ainsi, les comptes sécurisés avec une application d'authentification TOTP pouvaient accéder à l'API en utilisant uniquement leur e-mail et leurs identifiants.

Il est important de noter que la vulnérabilité existe au sein de la couche applicative de BTCPay, et non dans le protocole Bitcoin (BTC).

BTCPay a lancé la version 2.4.2 de son logiciel le 7 août tout en conseillant aux utilisateurs de s'assurer qu'ils ont mis à jour vers la version 2.6.10 de NBXplorer. Le logiciel mis à jour corrige une « vulnérabilité critique » qui est actuellement exploitée.