Se você opera um servidor de pagamento $Bitcoin, pare de ler após esta frase e desligue-o. O BTCPay Server, o processador de pagamentos em bitcoin auto-hospedado mais amplamente utilizado, confirmou que atacantes estão esvaziando carteiras quentes em instalações mais antigas e pediu a todos os operadores que desliguem suas instâncias até que a investigação seja concluída.
O que aconteceu com o BTCPay Server?
Tarde no sábado, 1º de novembro, a equipe do BTCPay Server publicou um alerta de emergência: estava recebendo relatos de carteiras quentes conectadas a instâncias do BTCPay sendo esvaziadas por atacantes não autorizados. A instrução foi direta. Desligue seu servidor com o script ./btcpay-down.sh e aguarde.
Até domingo, a equipe de resposta ao incidente havia reduzido o vetor de ataque. De acordo com o projeto, as instalações afetadas executam a versão 2.4.1, lançada em 23 de julho de 2026, ou anterior. Não há relatos credíveis de carteiras esvaziadas na versão atual 2.4.7.
O co-fundador Nicolas Dorier adicionou um detalhe preocupante: o atacante conseguiu fazer login nas instâncias afetadas com privilégios de administrador. Como esse acesso foi obtido ainda é desconhecido. Os servidores públicos próprios do projeto, que executam a versão 2.4.7, não foram atingidos.
Quantos bitcoin foram roubados no ataque ao BTCPay?
Ninguém sabe ainda, e o BTCPay Server não publicou um número. A equipe não divulgou quantos servidores foram comprometidos ou quantos operadores relataram perdas. Os usuários afetados estão sendo solicitados a enviar detalhes do incidente e logs dos servidores à equipe de segurança para que a investigação possa estabelecer a extensão.
Provedores de hospedagem agiram rapidamente. LunaNode e outros começaram a desligar automaticamente instâncias mais antigas, então se seu painel BTCPay ficou escuro repentinamente no fim de semana, essa pode ser a razão.
Essa é a mesma vulnerabilidade do BTCPay de agosto?
Não exatamente, mas o padrão é familiar. Em agosto, o BTCPay Server alertou sobre uma falha ativamente explorada que permitia a atacantes obter credenciais de administrador do LND e acessar carteiras Lightning conectadas. Esse bug foi corrigido na versão 2.4.2, e o projeto ofereceu uma recompensa de recuperação de 10 por cento dos fundos recuperados, com limite de 3 BTC.
A falha de agosto não afetou explicitamente carteiras quentes on-chain. Esta afeta. E ocorre seis semanas após o Core Lightning alertar que atacantes estavam caçando nodes Lightning mais antigos e não corrigidos. A mensagem de três incidentes distintos em três meses é a mesma: a infraestrutura de pagamento em bitcoin que não está atualizada está sendo ativamente escaneada e atacada.
O que os operadores do BTCPay Server devem fazer agora?
- Desligue a instância até que o BTCPay Server dê o sinal verde, mesmo que você esteja em uma versão recente. O projeto afirma que a 2.4.7 não é afetada, mas a causa raiz do login do administrador é desconhecida.
- Verifique os saldos da sua carteira quente e transfira o que restar para armazenamento a frio. O BTCPay recomenda há muito tempo manter apenas o fluxo operacional na carteira quente.
- Preserve seus logs. Se você vir transações inexplicadas, não apague o servidor. Envie os logs para a equipe de segurança da BTCPay.
- Atualize antes de reiniciar. Quando você trazer a instância de volta, faça isso na 2.4.7 ou na próxima versão corrigida.
- Roteie as credenciais de todas as contas de administrador no servidor e para qualquer serviço que compartilhou uma senha com ele.