Jika anda menjalankan server pembayaran $Bitcoin, berhenti membaca selepas ayat ini dan matikan ia. BTCPay Server, pengolah pembayaran bitcoin yang diselenggarakan sendiri paling luas digunakan, telah mengesahkan bahawa penyerang sedang mengosongkan dompet panas pada pemasangan lama dan meminta setiap pengendali untuk mematikan contoh mereka sehingga penyiasatan selesai.
Apa yang berlaku kepada BTCPay Server?
Pada hari Sabtu, 1 November, pasukan BTCPay Server memuatkan amaran kecemasan: ia menerima laporan bahawa dompet panas yang disambungkan kepada contoh BTCPay telah dikosongkan oleh penyerang tidak sah. Arahan itu jelas. Matikan pelayan anda dengan skrip ./btcpay-down.sh dan tunggu.
Pada hari Ahad, pasukan respons insiden telah mempersempit vektor serangan. Menurut projek, pemasangan yang terjejas menjalankan versi 2.4.1, yang dikeluarkan pada 23 Julai 2026, atau versi lebih lama. Tiada laporan boleh dipercayai mengenai dompet yang dikosongkan pada rilis 2.4.7 semasa.
Pendiri bersama Nicolas Dorier menambahkan butiran yang mengkhawatirkan: penyerang berjaya log masuk ke contoh yang terkesan dengan hak pentadbir. Cara akses itu diperoleh masih tidak diketahui. Pelayan awam projek itu sendiri, yang menjalankan 2.4.7, tidak diserang.
Berapakah jumlah bitcoin yang dicuri dalam serangan BTCPay?
Belum ada yang tahu, dan BTCPay Server belum mengeluarkan angka. Pasukan tidak mengungkapkan berapa banyak pelayan yang diserang atau berapa banyak pengendali yang melaporkan kerugian. Pengguna yang terkesan diminta menghantar butiran insiden dan log pelayan kepada pasukan keselamatan supaya penyiasatan dapat menentukan skala.
Penyedia hosting bergerak pantas. LunaNode dan lain-lain mula menutup contoh lama secara automatik, jadi jika papan pemuka BTCPay anda tiba-tiba menjadi gelap pada hujung minggu, itulah mungkin sebabnya.
Adakah ini kerentanan BTCPay yang sama seperti pada Ogos?
Tidak tepat, tetapi polanya dikenali. Pada Ogos, BTCPay Server memperingatkan tentang satu kelemahan yang aktif dieksploitasi yang membolehkan penyerang mengambil kredensial pentadbir LND dan mengakses dompet Lightning yang terhubung. Kelemahan itu telah dibaiki dalam versi 2.4.2, dan projek tersebut menawarkan hadiah pemulihan sebanyak 10 peratus daripada dana yang dipulihkan, dengan had 3 BTC.
Kelemahan Ogos jelas tidak menyentuh dompet panas di atas rantai. Yang ini melakukannya. Dan ia datang enam minggu selepas Core Lightning memperingatkan bahawa penyerang sedang memburu nod Lightning yang lebih lama dan tidak diperbaharui. Mesej daripada tiga kes terpisah dalam tiga bulan adalah sama: infrastruktur pembayaran bitcoin yang tidak diperbaharui sedang dipindai dan diserang secara aktif.
Apa yang perlu dilakukan oleh pengendali BTCPay Server sekarang?
- Tutup contoh sehingga BTCPay Server memberikan isyarat selamat, walaupun anda menggunakan versi terkini. Projek ini menyatakan bahawa 2.4.7 tidak terjejas, tetapi punca utama log masuk pentadbir masih tidak diketahui.
- Semak baki dompet panas anda dan pindahkan apa sahaja yang tinggal ke penyimpanan sejuk. BTCPay telah lama mencadangkan agar hanya mengekalkan dana operasi semasa di dompet panas.
- Simpan log anda. Jika anda melihat transaksi yang tidak dapat dijelaskan, jangan hapus pelayan. Hantar log tersebut kepada pasukan keselamatan BTCPay.
- Kemas kini sebelum anda mulakan semula. Apabila anda membawa semula contoh, lakukan pada 2.4.7 atau rilis yang telah dipatch seterusnya.
- Putar kredensial untuk setiap akaun pentadbir di server, dan untuk sebarang perkhidmatan yang berkongsi kata laluan dengannya.