Penyerang mendapat akses pentadbir kepada contoh BTCPay Server yang usang dan mengosongkan dompet panas mereka, dan jejak menunjukkan kelemahan yang wujud sebelum pembaikan pada Ogos.
Kerosakan menimpa operator yang tidak pernah mengemas kini, dan pasukan belum lagi mengungkapkan jumlah kerugian keseluruhan. BTCPay Server adalah pemproses pembayaran percuma dan sumber terbuka yang diselenggarakan sendiri oleh saudagar untuk menerima bitcoin. Dalam tetapan dompet panas, pelayan menyimpan kunci peribadi sendiri, yang membolehkan perisian menghantar dana tanpa operator menandatangani setiap transaksi. Akibatnya, sesiapa sahaja yang mempunyai akses pentadbir kepada pelayan sedemikian boleh menggerakkan koinnya.
Versi manakah yang menjadi sasaran penyerang?
Pasukan BTCPay Server pertama kali mengangkat alarm pada malam 1 November. Mereka meminta setiap pengendali untuk mematikan contoh mereka sehingga penyiasatan selesai.
Seterusnya, lingkupnya dipersempit. Vektor serangan menargetkan versi 2.4.1, yang dilancarkan pada 23 Julai 2026, dan segala versi yang lebih lama. Sementara itu, pasukan mengatakan ia tidak memiliki laporan boleh dipercayai mengenai penarikan dana pada rilis 2.4.7 semasa.
Pendiri Nicolas Dorier said penyerang log masuk sebagai pentadbir pada pelayan yang terjejas, walaupun pasukan belum lagi mengetahui bagaimana hal itu berlaku. Sejauh ini, penyiasatan mendapati jejak kelemahan yang berlaku sebelum versi 2.4.2.
Pelanggaran ini menandakan sekurang-kurangnya kali kedua dalam tiga bulan bahawa penyerang telah mencuri dana daripada contoh BTCPay Server yang menjalankan versi lebih lama daripada 2.4.2. Rilis itu memperbaiki kelemahan kritikal pada bulan Ogos, yang membolehkan penyerang jarak jauh mengambil kredensial nod Lightning dan mengosongkan dompet yang disambungkan.
Walaupun begitu, kelemahan itu sudah sedang dieksploitasi secara aktif.
Adakah Dompet Panas BTCPay Server Sepadan dengan Risikonya?
Penyedia hosting juga bertindak cepat. LunaNode dan lain-lain mungkin telah menutup contoh pelanggan secara automatik untuk menghalang serangan terhadap versi lama, kata pasukan itu.
Dorier menjalankan versi 2.4.7 dengan dompet panas sendiri. Namun, pendiri memperingatkan agar tidak menyimpan jumlah besar di mana-mana server.
Jangan simpan lebih daripada yang anda sedia kehilangan di dompet panas. Kami tidak dapat menjamin ia tidak akan berlaku lagi.
Nicolas Dorier, X
Kejadian ini selari dengan corak yang lebih luas dalam infrastruktur Bitcoin yang diselenggarakan sendiri. Core Lightning baru-baru ini memperingatkan bahawa penyerang menargetkan nod yang tidak diperbaharui. Dalam kedua-dua kes tersebut, penyelesaian sudah wujud sebelum pencurian, jadi titik lemahnya ialah operator yang memasang contoh BTCPay Server sekali sahaja dan tidak pernah memperbaharui ia.
Pos Adakah Server BTCPay Anda Selamat? Apa yang Ditunjukkan oleh Siasatan Penjarahan Dompet Panas pertama kali muncul di BeInCrypto.