Якщо ви керуєте сервером оплати $Bitcoin, зупиніть читання після цього речення і вимкніть його. BTCPay Server, найбільш використовуваний самовстановлений процесор платежів bitcoin, підтвердив, що нападники викрадають кошти з гарячих гаманців на старих версіях і закликав усіх операторів вимкнути свої екземпляри до завершення розслідування.
Що сталося з BTCPay Server?
Пізно в суботу, 1 листопада, команда BTCPay Server опублікувала аварійне повідомлення: вона отримувала повідомлення про те, що гарячі гаманці, підключені до BTCPay, порожніють через неавторизованих нападників. Інструкція була прямою: зупиніть свій сервер за допомогою скрипту ./btcpay-down.sh і зачекайте.
До неділі команда реагування на інциденти звузила вектор атаки. За даними проекту, уражені встановлення працюють на версії 2.4.1, випущеній 23 липня 2026 року, або старшій. Немає достовірних повідомлень про опорожнені гаманці у поточній версії 2.4.7.
Співзасновник Ніколя Дор'є додав тривожну деталь: атакувач зміг увійти до вразливих інстансів з адміністративними правами. Як саме було отримано цей доступ, наразі невідомо. Власні публічні сервери проекту, які працюють на версії 2.4.7, не були пошкоджені.
Скільки bitcoin було вкрадено під час хакерського нападу на BTCPay?
Ще ніхто не знає, і BTCPay Server не опублікував жодних цифр. Команда не розкрила, скільки серверів було скомпрометовано або скільки операторів повідомили про втрати. Користувачам, які постраждали, пропонують надіслати деталі інциденту та журнали серверів команді безпеки, щоб встановити масштаб.
Хостинг-провайдери діяли швидко. LunaNode та інші почали автоматично вимикати старі інстанси, тому, якщо ваша панель BTCPay раптово зникла вихідних, саме це могло бути причиною.
Чи це та сама вразливість BTCPay, що й у серпні?
Не зовсім, але шаблон знайомий. У серпні BTCPay Server попередив про активно експлуатовану вразливість, яка дозволяла зловмисникам отримати адміністративні облікові дані LND та отримати доступ до підключених гаманців Lightning. Цей баг був виправлений у версії 2.4.2, а проект оголосив винагороду за відновлення — 10 відсотків від відновлених коштів, з максимумом 3 BTC.
Березневий дефект явно не стосувався гарячих гаманців у мережі. Цей — так. І він виник через шість тижнів після того, як Core Lightning попередив, що нападники шукають старі, незапatchenі Lightning-ноди. Повідомлення від трьох окремих інцидентів за три місяці одне й те саме: інфраструктура платежів bitcoin, яка не оновлена, активно сканується та атакується.
Що повинні зробити оператори BTCPay Server зараз?
- Вимкніть інстанс, поки BTCPay Server не дасть дозвіл, навіть якщо ви використовуєте останню версію. Проект стверджує, що 2.4.7 не страждає, але причина проблеми з входом адміністратора невідома.
- Перевірте баланси гарячого гаманця та перекладіть усі залишки до холодного сховища. BTCPay вже довгий час рекомендує тримати лише операційний флоат у гарячому гаманці.
- Зберігайте свої журнали. Якщо ви бачите непояснені транзакції, не видаляйте сервер. Надішліть журнали команді безпеки BTCPay.
- Оновіть перед перезапуском. Коли ви знову запустите екземпляр, зробіть це на 2.4.7 або будь-якому виправленому виданні, яке йтиме після нього.
- Змініть облікові дані для кожного адміністративного акаунту на сервері, а також для будь-яких служб, які використовували з ним спільний пароль.