Если вы используете сервер оплаты $Bitcoin, прекратите чтение после этого предложения и отключите его. BTCPay Server, самый популярный самохостируемый процессор платежей bitcoin, подтвердил, что злоумышленники извлекают средства из горячих кошельков на более старых версиях, и попросил всех операторов отключить свои экземпляры до завершения расследования.
Что случилось с BTCPay Server?
Поздно в субботу, 1 ноября, команда BTCPay Server опубликовала экстренное предупреждение: она получала сообщения о том, что горячие кошельки, подключенные к экземплярам BTCPay, опустошаются неавторизованными злоумышленниками. Инструкция была четкой: остановите свой сервер с помощью скрипта ./btcpay-down.sh и подождите.
К воскресенью команда реагирования на инцидент сузила вектор атаки. Согласно проекту, затронутые установки используют версию 2.4.1, выпущенную 23 июля 2026 года, или более раннюю. Нет достоверных сообщений о пустых кошельках в текущей версии 2.4.7.
Сооснователь Николас Дорье добавил тревожную деталь: злоумышленнику удалось войти в затронутые экземпляры с правами администратора. Как именно был получен этот доступ, пока неизвестно. Собственные публичные серверы проекта, на которых работает версия 2.4.7, не были затронуты.
Сколько bitcoin было украдено при взломе BTCPay?
Пока никто не знает, и BTCPay Server не опубликовал цифры. Команда не раскрыла, сколько серверов было скомпрометировано или сколько операторов сообщили о потерях. Пострадавшим пользователям предлагается отправить детали инцидента и логи серверов команде безопасности, чтобы расследование могло определить масштаб.
Хостинг-провайдеры действовали быстро. LunaNode и другие начали автоматически отключать старые экземпляры, поэтому, если ваша панель BTCPay внезапно погасла в выходные, это может быть причиной.
Это та же уязвимость BTCPay, что и в августе?
Не совсем так, но схема знакома. В августе BTCPay Server предупредил о уязвимости, активно эксплуатируемой злоумышленниками, которая позволяла им получать административные учетные данные LND и получать доступ к подключенным кошелькам Lightning. Эта уязвимость была исправлена в версии 2.4.2, и проект объявил вознаграждение за восстановление — 10 процентов от восстановленных средств, но не более 3 BTC.
Октябрьская уязвимость явно не затрагивала горячие кошельки в цепочке. Эта — да. И она появилась через шесть недель после того, как Core Lightning предупредил, что злоумышленники охотятся за старыми, необновлёнными нодами Lightning. Сообщение от трёх отдельных инцидентов за три месяца одно и то же: инфраструктура платежей bitcoin, которая не обновляется, активно сканируется и атакуется.
Что должны сделать операторы BTCPay Server прямо сейчас?
- Выключите экземпляр, пока BTCPay Server не даст зеленый свет, даже если у вас последняя версия. Проект утверждает, что 2.4.7 не затронута, но причина уязвимости входа администратора неизвестна.
- Проверьте балансы вашего горячего кошелька и переведите оставшиеся средства в холодное хранение. BTCPay давно рекомендует хранить в горячем кошельке только операционный фонд.
- Сохраняйте свои логи. Если вы заметили непонятные транзакции, не очищайте сервер. Отправьте логи в службу безопасности BTCPay.
- Обновите систему перед перезапуском. Когда вы запустите экземпляр снова, используйте версию 2.4.7 или любую последующую исправленную версию.
- Смените учетные данные для каждого администраторского аккаунта на сервере, а также для любого сервиса, использовавшего с ним один и тот же пароль.