BTCPay सर्वर हैक: हॉट वॉलेट्स खाली, उपयोगकर्ताओं को सर्वर बंद करने की सलाह दी गई

अगर आप एक $Bitcoin भुगतान सर्वर चला रहे हैं, तो इस वाक्य के बाद पढ़ना बंद कर दें और इसे बंद कर दें। BTCPay Server, जो सबसे अधिक उपयोग किया जाने वाला स्वयं-होस्टेड बिटकॉइन भुगतान प्रोसेसर है, ने पुष्टि की है कि हमलावर पुरानी स्थापनाओं पर हॉट वॉलेट्स को स्वीप कर रहे हैं और प्रत्येक संचालक से अनुरोध किया है कि वे अपना इंस्टेंस जब तक जांच पूरी नहीं हो जाती, ऑफलाइन कर दें।

शनिवार, 1 नवंबर को रात को देर से, BTCPay Server टीम ने एक आपातकालीन चेतावनी पोस्ट की: यह बीटीके पे उदाहरणों से जुड़े हॉट वॉलेट्स को अनधिकृत हमलावरों द्वारा खाली किए जाने की रिपोर्ट प्राप्त कर रही थी। निर्देश स्पष्ट था। अपना सर्वर ./btcpay-down.sh स्क्रिप्ट के साथ बंद कर दें और प्रतीक्षा करें।

रविवार तक, घटना प्रतिक्रिया टीम ने हमले के माध्यम को संकुचित कर लिया था। प्रोजेक्ट के अनुसार, प्रभावित स्थापनाएँ 23 जुलाई 2026 को जारी की गई संस्करण 2.4.1 या पुरानी संस्करण चला रही हैं। वर्तमान 2.4.7 संस्करण पर खाली वॉलेट की कोई विश्वसनीय रिपोर्ट नहीं है।

सह-संस्थापक निकोलस डोरियर ने एक चिंताजनक विवरण जोड़ा: हमलावर ने प्रभावित उदाहरणों में प्रशासकीय अधिकारों के साथ प्रवेश कर लिया। यह जानकारी अभी अज्ञात है कि इस तरह का पहुंच कैसे प्राप्त किया गया। प्रोजेक्ट के अपने सार्वजनिक सर्वर, जो 2.4.7 चलाते हैं, पर हमला नहीं हुआ।

अभी तक कोई नहीं जानता, और BTCPay Server ने कोई आंकड़ा जारी नहीं किया है। टीम ने यह नहीं बताया है कि कितने सर्वर्स संक्रमित हुए या कितने ऑपरेटर्स ने नुकसान की रिपोर्ट की है। प्रभावित उपयोगकर्ताओं से अनुरोध किया जा रहा है कि वे घटना के विवरण और सर्वर लॉग सुरक्षा टीम को भेजें, ताकि जांच पैमाने को तय कर सके।

होस्टिंग प्रोवाइडर्स ने तेजी से काम किया। लूनानोड और अन्य ने पुराने इंस्टेंस को स्वचालित रूप से बंद करना शुरू कर दिया, इसलिए अगर आपका BTCPay डैशबोर्ड अचानक सप्ताहांत के दौरान बंद हो गया, तो यही कारण हो सकता है।

बिल्कुल नहीं, लेकिन यह पैटर्न परिचित है। अगस्त में, BTCPay Server ने एक सक्रिय रूप से दुरुपयोग किए जा रहे दोष की चेतावनी दी, जिससे हमलावर LND प्रशासकीय पारित्रों को उठा सकते थे और जुड़े Lightning वॉलेट तक पहुँच सकते थे। यह दोष 2.4.2 में ठीक कर दिया गया था, और प्रोजेक्ट ने पुनः प्राप्त धन का 10 प्रतिशत, 3 BTC तक की सीमा के साथ, पुनः प्राप्ति बोनस घोषित किया।

अगस्त की खामी स्पष्ट रूप से ऑन-चेन हॉट वॉलेट्स को नहीं छूई गई थी। यह एक छूती है। और यह Core Lightning द्वारा चेतावनी देने के छह सप्ताह बाद आया है कि हमलावर पुराने, अपडेट नहीं किए गए Lightning नोड्स की तलाश में हैं। तीन महीनों में तीन अलग-अलग घटनाओं से संदेश एक ही है: अपडेट नहीं किए गए बिटकॉइन भुगतान बुनियादी ढांचे को सक्रिय रूप से स्कैन किया जा रहा है और हमला किया जा रहा है।

• आइंस्टेंस को बंद कर दें, जब तक कि BTCPay Server से स्पष्ट संकेत न मिल जाए, भले ही आप नवीनतम संस्करण पर हों। प्रोजेक्ट कहता है कि 2.4.7 प्रभावित नहीं है, लेकिन एडमिन लॉगिन का मूल कारण अज्ञात है।
• अपने हॉट वॉलेट के बैलेंस की जांच करें और जो कुछ भी शेष है, उसे कोल्ड स्टोरेज में स्थानांतरित कर दें। BTCPay ने लंबे समय से सिफारिश की है कि केवल ऑपरेटिंग फ्लोट को हॉट वॉलेट में रखा जाए।
• अपने लॉग्स को संरक्षित रखें। यदि आप अनुबंधित लेन-देन देखें, तो सर्वर को मिटाएं नहीं। लॉग्स को BTCPay की सुरक्षा टीम को भेजें।
• पुनः शुरू करने से पहले अपडेट करें। जब आप इंस्टेंस को वापस लाएँ, तो इसे 2.4.7 या उसके बाद के किसी भी पैच्ड रिलीज पर करें।
• सर्वर पर प्रत्येक एडमिन खाते के लिए योग्यता प्रमाण पत्र बदलें, और किसी भी सेवा के लिए जिसने इसके साथ पासवर्ड साझा किया हो।