Злоумышленники получили административный доступ к устаревшим экземплярам BTCPay Server и изъяли средства из их горячих кошельков, причем следы указывают на уязвимости, существовавшие до патча в августе.
Ущерб затрагивает операторов, которые никогда не обновляли систему, и команда пока не раскрыла общие потери. BTCPay Server — это бесплатный открытый процессор платежей, который мерчанты размещают самостоятельно для приема bitcoin. В настройке с горячим кошельком сервер хранит закрытые ключи самостоятельно, что позволяет программе отправлять средства без подписи оператором каждой транзакции. В результате любой, кто имеет административный доступ к такому серверу, может перемещать его монеты.
Какие версии были целью атакующих?
Команда BTCPay Server впервые подняла тревогу поздно 1 ноября. Она попросила всех операторов отключить свои экземпляры до завершения расследования.
Последующий анализ сузил область действия. Вектор атаки нацелен на версию 2.4.1, выпущенную 23 июля 2026 года, и все более ранние версии. Тем временем команда заявляет, что не имеет достоверных сообщений о хищениях средств в текущей версии 2.4.7.
Основатель Николас Дорье сказал, что злоумышленник вошел в систему как администратор на затронутых серверах, хотя команда пока не выяснила, как это произошло. На данный момент расследование обнаружило следы уязвимостей, существовавших до версии 2.4.2.
Утечка стала по меньшей мере вторым случаем за три месяца, когда злоумышленники украли средства из экземпляров BTCPay Server, работающих на версиях старше 2.4.2. Этот релиз исправил критическую уязвимость в августе, которая позволяла удалённым злоумышленникам получать учётные данные Lightning-ноды и опустошать подключённые кошельки.
Даже тогда уязвимость уже активно эксплуатировалась.
Стоит ли рисковать, используя горячий кошелек BTCPay Server?
Хостинг-провайдеры также действовали быстро. Команда говорит, что LunaNode и другие могли автоматически отключить экземпляры клиентов, чтобы блокировать атаки на более старые версии.
Дорье запускает версию 2.4.7 со своим горячим кошельком. Тем не менее, основатель предупредил против хранения крупных сумм на любом сервере.
Не размещайте в горячем кошельке больше средств, чем вы готовы потерять. Мы не можем гарантировать, что это не повторится.
Николас Дорье, X
Инцидент соответствует более широкой тенденции в самозапущенной инфраструктуре bitcoin. Core Lightning недавно предупредил, что злоумышленники нацеливаются на ноды с необновлёнными патчами. В обоих случаях исправление существовало до кражи, поэтому слабым звеном стал оператор, который установил экземпляр BTCPay Server один раз и никогда его не обновлял.
Пост Безопасен ли ваш BTCPay Server? Что показало расследование утечки горячего кошелька появился первым на BeInCrypto.