हमलावरों ने अपडेट नहीं किए गए BTCPay Server उदाहरणों तक प्रशासनिक पहुंच प्राप्त की और उनके हॉट वॉलेट्स को स्वीप कर लिया, और निशान एक अगस्त पैच से पहले की खामियों की ओर इशारा करते हैं।
क्षति उन संचालकों पर पड़ती है जिन्होंने कभी अपडेट नहीं किया, और टीम अभी तक कुल नुकसान का खुलासा नहीं किया है। BTCPay Server एक मुफ्त, ओपन-सोर्स भुगतान प्रोसेसर है जिसे मर्चेंट स्वयं होस्ट करते हैं ताकि बिटकॉइन स्वीकार कर सकें। एक हॉट वॉलेट सेटअप में, सर्वर स्वयं प्राइवेट कीज़ स्टोर करता है, जिससे सॉफ्टवेयर किसी भी लेनदेन को साइन किए बिना फंड्स भेज सकता है। परिणामस्वरूप, ऐसे सर्वर पर एडमिन एक्सेस वाला कोई भी उसके कॉइन्स स्थानांतरित कर सकता है।
हमलावरों ने कौन से संस्करणों को लक्षित किया?
BTCPay Server टीम ने 1 नवंबर को रात को चेतावनी जारी की। उन्होंने हर ऑपरेटर से अनुरोध किया कि वे अपना इंस्टेंस जांच पूरी होने तक बंद कर दें।
एक अनुसरण ने फिर से दायरा संकुचित कर दिया। हमला वेक्टर 23 जुलाई, 2026 को जारी की गई संस्करण 2.4.1 और उससे पुराने को लक्षित करता है। इसी बीच, टीम का कहना है कि वर्तमान 2.4.7 रिलीज पर किसी भी ड्रेन की कोई विश्वसनीय रिपोर्ट नहीं है।
संस्थापक निकोलस डोरियर ने कहा कि हमलावर ने प्रभावित सर्वर्स पर एडमिन के रूप में प्रवेश किया, हालांकि टीम अभी तक यह नहीं निकाल पाई है कि ऐसा कैसे हुआ। अब तक, जांच में 2.4.2 से पहले के संस्करणों के समय के दरारों के निशान मिले हैं।
इस ब्रीच से कम से कम तीन महीने में दूसरी बार हमें पता चलता है कि हमलावरों ने 2.4.2 से पुराने संस्करण चला रहे BTCPay Server इंस्टेंस से फंड चुरा लिए हैं। उस रिलीज़ ने एक गंभीर दोष को पैच किया था अगस्त में, जिससे रिमोट हमलावर Lightning नोड क्रेडेंशियल्स प्राप्त कर सकते थे और जुड़े वॉलेट्स को खाली कर सकते थे।
फिर भी, बग पहले से ही सक्रिय रूप से दुरुपयोग किया जा रहा था।
क्या BTCPay Server हॉट वॉलेट जोखिम के लायक है?
होस्टिंग प्रोवाइडर्स ने भी जल्दी से प्रतिक्रिया दी। टीम के अनुसार, लूनानोड और अन्य ने पुराने संस्करणों पर हमलों को रोकने के लिए ग्राहक उदाहरणों को स्वचालित रूप से बंद कर दिया होगा।
डोरियर स्वयं 2.4.7 संस्करण का उपयोग करते हुए एक हॉट वॉलेट चलाते हैं। हालाँकि, संस्थापक ने किसी भी सर्वर पर बड़ी राशि रखने की सलाह नहीं दी।
अपने हॉट वॉलेट में उससे अधिक राशि न डालें जितनी आप खोने को तैयार हैं। हम यह गारंटी नहीं दे सकते कि ऐसा फिर से नहीं होगा।
निकोलस डोरिए, X
घटना स्वयं-होस्टेड बिटकॉइन इंफ्रास्ट्रक्चर के भरपूर पैटर्न का हिस्सा है। कोर लाइटनिंग ने हाल ही में चेतावनी दी है कि आक्रमणकारी अपडेट न किए गए नोड्स को निशाना बनाते हैं। दोनों मामलों में, चोरी से पहले ही समाधान उपलब्ध था, इसलिए सबसे कमजोर बिंदु एक ऑपरेटर था जिसने एक बार BTCPay Server इंस्टॉल किया और कभी अपडेट नहीं किया।
पोस्ट क्या आपका BTCPay Server सुरक्षित है? हॉट वॉलेट ड्रेन जांच क्या दर्शाती है सबसे पहले BeInCrypto पर प्रकाशित हुई।