Correção de emergência do BTCPay expõe risco de segurança de Bitcoin para comerciantes

Uma atualização de emergência foi lançada pelo BTCPay Server, o software de código aberto que comerciantes usam para aceitar Bitcoin, devido a uma vulnerabilidade que está sendo explorada para potencialmente roubar fundos de usuários.

Conforme identificado no GitHub pull request #7491, esta vulnerabilidade permite que cibercriminosos contornem o mecanismo de segurança de dois fatores TOTP por meio da Autenticação Básica da API Greenfield do BTCPay. A razão da vulnerabilidade reside no fato de que o mecanismo de autenticação verificava se credenciais FIDO2 válidas estavam registradas, em vez de verificar se o sistema de dois fatores estava de fato habilitado. Assim, as contas protegidas com um aplicativo autenticador TOTP poderiam acessar a API usando apenas seu e-mail e credenciais.

É importante notar que a vulnerabilidade existe dentro da camada de aplicação do BTCPay, não no protocolo Bitcoin (BTC).

O BTCPay lançou a versão 2.4.2 de seu software em 7 de agosto, ao mesmo tempo em que aconselha os usuários a garantirem que atualizaram para a versão 2.6.10 do NBXplorer. O software atualizado aborda uma "vulnerabilidade crítica" que está sendo explorada no momento.

Um mercado que ignorou o susto nos pagamentos