Kung ikaw ay nagpapatakbo ng $Bitcoin payment server, tumigil ka na sa pagbabasa pagkatapos ng pangungusap na ito at pagsisimulan ang pagpaputol nito. Ang BTCPay Server, ang pinakamalawakang ginagamit na self-hosted Bitcoin payment processor, ay nag-verify na ang mga attacker ay nag-aabot ng mga hot wallet sa mga mas lumang installation at humiling sa bawat operator na pagsisimulan ang pagpaputol ng kanilang instance hanggang sa matapos ang imbestigasyon.
Ano ang nangyari sa BTCPay Server?
Huling gabi ng Sabado, 1 ng Nobyembre, ang koponan ng BTCPay Server ay nag-post ng emergency alert: nakakatanggap sila ng mga ulat na ang mga hot wallet na konektado sa mga instansya ng BTCPay ay binuksan ng hindi awtorisadong mga attacker. Ang utos ay direktang: I-sarado ang iyong server gamit ang ./btcpay-down.sh script at maghintay.
Biyernes, ang koponan ng pagtugon sa insidente ay nakapagpaliwanag na ang vector ng pag-atake. Ayon sa proyekto, ang mga nasakop na installation ay tumatakbo sa bersyon 2.4.1, na ipinakilala noong 23 Hulyo 2026, o mas lumang bersyon. Walang kredibleng ulat ng mga wallet na nawalan ng pera sa kasalukuyang bersyon 2.4.7.
Dinagdagan ng co-founder Nicolas Dorier ang isang nakakalungkot na detalye: nakakamit ng attacker ang pag-login sa mga nasaktan na instance gamit ang administrator privileges. Ang paraan kung paano natanggap ang akses ay patuloy na hindi kilala. Ang mga pampublikong server ng proyekto, na nagpapatakbo ng 2.4.7, ay hindi nasaktan.
Ilang bitcoin ang nasakop sa pag-hack ng BTCPay?
Hindi pa alam ng sinuman, at hindi pa naglathala ng numero ang BTCPay Server. Hindi pa inilabas ng koponan kung ilang server ang na-compromise o ilang operator ang nareport ng pagkawala. Hinihingi ng mga apektadong user na ipadala ang detalye ng insidente at server logs sa security team upang matukoy ng imbestigasyon ang saklaw.
Mabilis na gumawa ang mga hosting provider. Ang LunaNode at iba pa ay nagsimulang isara ang mga lumang instance nang awtomatiko, kaya kung biglang naging madilim ang iyong BTCPay dashboard sa huling linggo, iyon ang maaaring dahilan.
Ito ba ang parehong vulnerability sa BTCPay noong Agosto?
Hindi eksaktong ganito, ngunit ang pattern ay pamilyar. Noong Agosto, binigyan ng babala ng BTCPay Server ang isang aktibong exploited na bug na nagpapahintulot sa mga attacker na kunin ang mga administrator credentials ng LND at makapasok sa mga konektadong Lightning wallet. Nilutas ang bug sa 2.4.2, at isinampa ng proyekto ang recovery bounty na 10 porsyento ng mga narecover na pondo, na may limitasyon na 3 BTC.
Hindi direktang sinasakop ng butas noong Agosto ang mga hot wallet sa chain. Ito ay sinasakop. At ito ay nangyari anim na linggo pagkatapos ng babala ng Core Lightning na ang mga attacker ay humahanap ng mas lumang, hindi napapag-ayos na Lightning nodes. Ang mensahe mula sa tatlong hiwalay na insidente sa tatlong buwan ay pareho: Ang bitcoin payment infrastructure na hindi napapag-ayos ay aktibong sinascan at sinasakop.
Ano ang dapat gawin ng mga operator ng BTCPay Server ngayon?
- I-close ang instance hanggang sa magbigay ng all clear ang BTCPay Server, kahit nasa recent version ka na. Sinasabi ng project na hindi apektado ang 2.4.7, ngunit ang root cause ng admin login ay hindi kilala.
- Suriin ang balanse ng iyong hot wallet at ilipat ang anumang natitira sa cold storage. Mahaba nang inirerekomenda ni BTCPay na panatilihin lamang ang operating float sa hot wallet.
- Panatilihin ang iyong mga log. Kung nakikita mo ang hindi ipinaliwanag na transaksyon, huwag linisin ang server. Ipadala ang mga log sa security team ng BTCPay.
- I-update bago mo i-restart. Kapag ibabalik mo ang instance, gawin ito sa 2.4.7 o anumang patched release na susunod.
- I-rotate ang mga kredensyal para sa bawat admin account sa server, at para sa anumang serbisyo na nagkakaroon ng parehong password nito.