Nakamit ng mga attacker ang admin access sa mga lumang instansya ng BTCPay Server at sinweep ang kanilang mga hot wallet, at ang mga tala ay nagtuturo sa mga kakulangan na umiiral bago ang patch noong Agosto.
Ang pinsala ay tumutugon sa mga operator na hindi nag-update, at ang koponan ay hindi pa naglabas ng kabuuang pagkawala. Ang BTCPay Server ay isang libreng, open-source na payment processor na hinahawakan ng mga merchant upang tanggapin ang Bitcoin. Sa isang hot wallet setup, ang server ang nag-iimbak ng mga private key nito, na nagpapahintulot sa software na magpadala ng pera nang hindi kailangang i-sign ng operator ang bawat transaksyon. Bilang resulta, sinuman na may admin access sa ganitong server ay maaaring ilipat ang mga coin nito.
Ano ang mga bersyon na tinarget ng mga attacker?
Una ringgit ng koponan ng BTCPay Server ang alarm noong hatinggabi ng Nov. 1. Hiningi nila sa bawat operator na isara ang kanilang instance hanggang sa matapos ang imbestigasyon.
Isang susunod na pagpapaliwanag ang nagpaliit ng saklaw. Ang vector ng pag-atake ay nagtatarget sa bersyon 2.4.1, na inilabas noong Hulyo 23, 2026, at lahat ng mas lumang bersyon. Samantala, sinasabi ng koponan na wala silang kredibleng ulat tungkol sa pagkawala sa kasalukuyang bersyon 2.4.7.
Sinabi ni Founder Nicolas Dorier said na naka-login ang attacker bilang admin sa mga naiimpluwensyang server, bagaman hindi pa nakakabuo ang team kung paano ito naganap. Hanggang sa ngayon, natagpuan ng imbestigasyon ang mga tanda ng mga vulnerability na lumabas bago ang bersyon 2.4.2.
Ang paglabas ay nagtandaan ng kahit anong pangalawang pagkakataon sa loob ng tatlong buwan kung saan ang mga mangmang ay nakuha ang pera mula sa mga BTCPay Server instance na nagpapatakbo ng bersyon na mas matanda kaysa sa 2.4.2. Ang paglabas na ito nilagyan ng patch isang mahalagang kahinaan noong Agosto, na nagbigay-daan sa mga mangmang mula sa malayo na kunin ang mga kredensyal ng Lightning node at mawalan ng pera ang mga konektadong wallet.
Kahit noon, ang bug ay nasa aktibong pagpapakalat.
Kaya bang tanggapin ang panganib ng isang Hot Wallet na BTCPay Server?
Ang mga hosting provider ay umaksi din. Maaaring isara ng LunaNode at iba pa ang mga instance ng mga customer nang awtomatiko upang pigilan ang mga pag-atake sa mas lumang bersyon, ayon sa koponan.
Dorier ang nagpapatakbo ng bersyon 2.4.7 gamit ang sariling hot wallet. Gayunpaman, binigyan ng babala ang tagapagtatag laban sa pag-iimbak ng malalaking halaga sa anumang server.
Huwag ilagay ang higit pa kaysa sa handa kang mawala sa hot wallet. Hindi namin maaaring jaminan na hindi ito mangyayari muli.
Nicolas Dorier, X
Ang insidente ay bahagi ng mas malawak na pattern sa self-hosted Bitcoin infrastructure. Ang Core Lightning ay nagbaba ng babala na ang mga attacker ay nagtatarget sa mga node na hindi na-patch. Sa parehong kaso, ang solusyon ay umiiral bago ang pagkakawala, kaya ang pinakamahinang punto ay ang operator na nag-install ng isang BTCPay Server instance nang isang beses at hindi na nag-update.
Lumabas muna ang post Is Your BTCPay Server Safe? What the Hot Wallet Drain Investigation Shows sa BeInCrypto.