BTCPay Server waarschuwt gebruikers nadat aanvallers bitcoin hebben gestolen van betaalservers met verouderde software. Het project wijst installaties met versie 2.4.1 of ouder aan als doelwit. Hoe de aanvallers precies binnenkwamen, wordt nog onderzocht.
Betaalservers moeten direct worden bijgewerkt
BTCPay Server is gratis software waarmee webwinkels en andere bedrijven rechtstreeks bitcoinbetalingen kunnen ontvangen. De ondernemer draait de software zelf en kan daarbij een crypto-wallet op dezelfde server bewaren. Dat voorkomt een centrale betaalpartij, maar legt het beheer en de beveiliging bij de eigenaar.
Het project meldde zondagavond in een officiële waarschuwing dat onbevoegde aanvallers zulke online wallets leegmaakten. Beheerders kregen toen het advies hun server uit te schakelen terwijl het onderzoek liep.
Een latere update maakt het risico concreter. De gevonden aanvalsvector richt zich volgens BTCPay op versie 2.4.1 en ouder. Voor de huidige versie 2.4.7 zijn geen geloofwaardige meldingen van leeggehaalde wallets ontvangen. Dat is geen garantie dat iedere bijgewerkte installatie veilig is, maar wel een duidelijke grens in de tot nu toe gemelde incidenten.
Update wist eerdere toegang niet uit
De aanvallers logden volgens BTCPay-oprichter Nicolas Dorier als beheerder in op getroffen servers. Met zulke rechten kan iemand instellingen wijzigen en geld versturen uit een hot wallet, een wallet waarvan de geheime sleutels online beschikbaar zijn.
Wie nog oude software gebruikt, moet daarom niet alleen de nieuwste BTCPay-versie installeren. Een getroffen server moet als gecompromitteerd worden behandeld: bewaar logbestanden, controleer onbekende beheerders en sleutels en verplaats resterend geld naar een wallet waarvan de gegevens nooit op die server stonden.
BTCPay heeft nog niet bekendgemaakt hoeveel servers zijn geraakt of hoeveel bitcoin is gestolen. Ook is niet vastgesteld of de huidige diefstallen rechtstreeks voortkomen uit het beveiligingslek dat in augustus met versie 2.4.2 werd gedicht. Tot het technische onderzoek klaar is, blijft vooral duidelijk dat een software-update geen eerder buitgemaakte toegang ongedaan maakt.