Зловмисники отримали адміністративний доступ до застарілих екземплярів BTCPay Server і вивезли кошти з їхніх гарячих гаманців, а сліди вказують на вади, які існували до патчу у серпні.
Збитки стосуються операторів, які ніколи не оновлювали систему, а команда ще не розкрила загальні втрати. BTCPay Server — це безкоштовний відкритий процесор платежів, який мерчанти розміщують самостійно для прийому bitcoin. У налаштуванні гарячого гаманця сервер зберігає приватні ключі сам, що дозволяє програмному забезпеченню надсилати кошти без підписання кожної транзакції оператором. Як наслідок, будь-хто з доступом адміністратора до такого сервера може переміщувати його монети.
Які версії були ціллю атакуючих?
Команда BTCPay Server вперше підняла тревогу наприкінці 1 листопада. Вона попросила кожного оператора вимкнути свій екземпляр до завершення розслідування.
Подальший аналіз звузив сфери застосування. Вектор атаки спрямований на версію 2.4.1, випущену 23 липня 2026 року, і всі старші версії. Тим часом команда повідомляє, що не має достовірних повідомлень про вилучення коштів з поточної версії 2.4.7.
Засновник Ніколя Дор'є сказав, що нападник увійшов як адміністратор на вплинутих серверах, хоча команда ще не визначила, як це сталося. На даний момент розслідування виявило сліди вразливостей, які існували до версії 2.4.2.
Цей випадок порушення є щонайменше другим за три місяці, коли нападники викрали кошти з екземплярів BTCPay Server, які працювали на версіях старших за 2.4.2. Цей випуск виправив критичний недолік у серпні, який дозволяв віддаленим нападникам отримувати облікові дані ноди Lightning і виснажувати підключені гаманці.
Навіть тоді ця помилка вже активно експлуатувалася.
Чи варто ризикувати з гарячим гаманцем BTCPay Server?
Хостинг-провайдери також швидко відреагували. LunaNode та інші, за словами команди, можуть автоматично вимкнути інстанси клієнтів, щоб запобігти атакам на старі версії.
Dorier запускає версію 2.4.7 з гарячим гаманцем сам. Однак засновник попереджав проти зберігання великих сум на будь-якому сервері.
Не розміщуйте більше, ніж ви готові втратити, у гарячому гаманці. Ми не можемо гарантувати, що це не повториться.
Ніколас Дор'є, X
Інцидент відповідає загальній тенденції в самостійно розгорнутих інфраструктурах bitcoin. Core Lightning недавно попередив, що зловмисники атакують ноди без оновлень. У обох випадках виправлення існувало до крадіжки, тому найслабшим ланцюгом був оператор, який встановив BTCPay Server один раз і ніколи його не оновлював.
Пост Чи безпечний ваш BTCPay Server? Що показує розслідування злиття гарячого гаманця з’явився першим на BeInCrypto.