Atacantes obtiveram acesso de administrador a instâncias desatualizadas do BTCPay Server e esvaziaram suas carteiras quentes, e pistas apontam para falhas que antecedem um patch de agosto.
O dano atinge operadores que nunca atualizaram, e a equipe ainda não divulgou os prejuízos totais. O BTCPay Server é um processador de pagamentos gratuito e de código aberto que comerciantes hospedam por conta própria para aceitar bitcoin. Em uma configuração de carteira quente, o servidor armazena as chaves privadas ele mesmo, permitindo que o software envie fundos sem que o operador assine cada transação. Como resultado, qualquer pessoa com acesso de administrador a esse servidor pode mover seus coins.
Quais versões os atacantes alvejaram?
A equipe do BTCPay Server primeiro alertou o alarme no final de 1º de novembro. Ela pediu a todos os operadores que desligassem suas instâncias até o fim da investigação.
Um seguimento então restringiu o escopo. O vetor de ataque visa a versão 2.4.1, lançada em 23 de julho de 2026, e todas as versões anteriores. Enquanto isso, a equipe afirma que não possui relatos credíveis de drenagens na versão atual 2.4.7.
O fundador Nicolas Dorier said que o atacante fez login como administrador nos servidores afetados, embora a equipe ainda não tenha descoberto como. Até agora, a investigação encontrou vestígios de vulnerabilidades que antecedem a versão 2.4.2.
A violação marca pelo menos a segunda vez em três meses que atacantes roubaram fundos de instâncias do BTCPay Server executando versões anteriores à 2.4.2. Essa versão corrigiu uma falha crítica em agosto, que permitia a atacantes remotos obter credenciais de node Lightning e esvaziar carteiras conectadas.
Mesmo assim, o bug já estava sob exploração ativa.
Uma carteira quente do BTCPay Server vale o risco?
Os provedores de hospedagem também agiram rapidamente. A LunaNode e outras podem ter desligado automaticamente as instâncias dos clientes para bloquear ataques em versões mais antigas, diz a equipe.
Dorier executa a versão 2.4.7 com uma carteira quente pessoalmente. Mesmo assim, o fundador alertou contra manter grandes quantias em qualquer servidor.
Não coloque mais do que você está disposto a perder na carteira quente. Não podemos garantir que isso não aconteça novamente.
Nicolas Dorier, X
O incidente se encaixa em um padrão mais amplo na infraestrutura de bitcoin auto-hospedada. O Core Lightning recentemente alertou que atacantes visam nodes não atualizados. Em ambos os casos, a correção já existia antes do roubo, portanto, o ponto mais fraco foi um operador que instalou uma instância do BTCPay Server uma vez e nunca a atualizou.
A post Seu Servidor BTCPay está seguro? O que a investigação sobre o esvaziamento da carteira quente mostra apareceu pela primeira vez em BeInCrypto.