ビットコイン決済ソフトのBTCPay Server（ビーティーシーペイ・サーバー）は8月8日、二要素認証（2FA）を迂回できる重大な脆弱性が悪用されているとして、最新版「v2.4.2」への速やかな更新を利用者に呼びかけた。
BTCPay ServerのGitHubによると、問題は外部アプリなどからサービスを操作する「Greenfield API」の認証機能にあった。
認証アプリを使った2FAを設定しているアカウントでも、特定の認証方法を使うと、メールアドレスとパスワードだけでAPIにアクセスできる状態だったという。
通常のログインではパスワード入力後に2FAによる本人確認が求められるが、今回の脆弱性では、API経由でその確認を行わずにアクセスが可能だった。
BTCPay Server側は、該当する方法でAPIにアクセスした場合、アカウントに付与された権限を利用できる可能性があったと説明している。
今回の問題で重要なのは、脆弱性が見つかっただけでなく、実際に悪用されていることをBTCPay Server側が確認している点だ。
v2.4.2では2FAを迂回できる問題を修正したほか、原因となったGreenfield APIのBasic認証についても、アカウント作成から5分後には初期設定で無効になるよう仕様を変更した。
BTCPay Serverは、仲介事業者を介さずにビットコイン（BTC）決済を受け付けられるオープンソースの決済ソフトウェアで、利用者自身がサーバーを管理するセルフホスト型で提供されている。
なお、BTCPay Serverは今回の脆弱性が悪用されていると説明しているものの、影響を受けた利用者数や具体的な攻撃事例、資金被害の有無・規模については公表していない。
免責事項 ： 本サイトは当ページのいかなるコンテンツや製品も推奨していない。本サイトは世界中他言語グローバルブロックチェーンサイトから引用したすべての重要情報を提供することを目的にしています。読者は上述の内容に関係したあらゆる行動をとる前に独自の調査を行い、自身の決断については全責任を負わねばならない。また、当記事は投資や金融商品購入のアドバイスではない。内容を参考としてご自由にご利用ください。