Nếu bạn đang vận hành máy chủ thanh toán $Bitcoin, hãy dừng đọc sau câu này và tắt nó đi. BTCPay Server, hệ thống xử lý thanh toán bitcoin tự lưu trữ được sử dụng rộng rãi nhất, đã xác nhận rằng các kẻ tấn công đang thu thập tiền trong ví nóng trên các phiên bản cũ hơn và đã yêu cầu tất cả người vận hành tắt phiên bản của họ cho đến khi cuộc điều tra kết thúc.
Điều gì đã xảy ra với BTCPay Server?
Vào cuối thứ Bảy, ngày 1 tháng 11, nhóm BTCPay Server đã đăng một cảnh báo khẩn cấp: họ nhận được báo cáo về các ví nóng được kết nối với các phiên bản BTCPay đang bị kẻ tấn công không được ủy quyền trống rỗng. Lệnh đưa ra rất rõ ràng: Tắt máy chủ của bạn bằng lệnh ./btcpay-down.sh và chờ đợi.
Đến Chủ nhật, đội phản ứng sự cố đã thu hẹp được vector tấn công. Theo dự án, các hệ thống bị ảnh hưởng đang chạy phiên bản 2.4.1, được phát hành vào ngày 23 tháng 7 năm 2026, hoặc các phiên bản cũ hơn. Không có báo cáo đáng tin cậy nào về các ví bị rút sạch trên phiên bản 2.4.7 hiện tại.
Đồng sáng lập Nicolas Dorier đã bổ sung một chi tiết đáng lo ngại: kẻ tấn công đã đăng nhập thành công vào các phiên bản bị ảnh hưởng với quyền quản trị viên. Cách thức kẻ tấn công có được quyền truy cập này vẫn chưa được làm rõ. Các máy chủ công khai của dự án, đang chạy phiên bản 2.4.7, không bị ảnh hưởng.
Bao nhiêu bitcoin đã bị đánh cắp trong vụ tấn công BTCPay?
Chưa ai biết rõ, và BTCPay Server chưa công bố con số cụ thể. Nhóm phát triển chưa tiết lộ có bao nhiêu máy chủ bị xâm phạm hoặc bao nhiêu người vận hành đã báo cáo tổn thất. Người dùng bị ảnh hưởng được yêu cầu gửi chi tiết sự cố và nhật ký máy chủ đến đội ngũ bảo mật để cuộc điều tra có thể xác định quy mô.
Các nhà cung cấp lưu trữ đã hành động nhanh chóng. LunaNode và các bên khác bắt đầu tự động tắt các phiên bản cũ hơn, vì vậy nếu bảng điều khiển BTCPay của bạn đột ngột tắt vào cuối tuần, đó có thể là lý do.
Đây có phải là lỗ hổng BTCPay giống như tháng Tám không?
Không hoàn toàn, nhưng mô hình này khá quen thuộc. Vào tháng Tám, BTCPay Server đã cảnh báo về một lỗ hổng đang bị khai thác tích cực cho phép kẻ tấn công đánh cắp thông tin quản trị viên LND và truy cập vào các ví Lightning được kết nối. Lỗ hổng này đã được vá trong phiên bản 2.4.2, và dự án đã treo giải thưởng phục hồi 10 phần trăm số tiền được khôi phục, với mức tối đa là 3 BTC.
Lỗ hổng tháng Tám rõ ràng không ảnh hưởng đến các ví nóng trên chuỗi. Lỗ hổng này thì có. Và nó xuất hiện sau sáu tuần kể từ khi Core Lightning cảnh báo rằng các kẻ tấn công đang tìm kiếm các nút Lightning cũ hơn, chưa được vá. Thông điệp từ ba sự cố riêng biệt trong ba tháng là như nhau: Cơ sở hạ tầng thanh toán bitcoin không được cập nhật đang bị quét và tấn công chủ động.
Các chủ sở hữu BTCPay Server nên làm gì ngay bây giờ?
- Tắt phiên bản cho đến khi BTCPay Server xác nhận an toàn, ngay cả khi bạn đang sử dụng phiên bản mới nhất. Dự án cho biết phiên bản 2.4.7 không bị ảnh hưởng, nhưng nguyên nhân gốc rễ của việc đăng nhập admin vẫn chưa được xác định.
- Kiểm tra số dư ví nóng của bạn và chuyển bất kỳ số dư còn lại vào ví lạnh. BTCPay đã lâu nay khuyến nghị chỉ giữ số dư hoạt động trong ví nóng.
- Giữ lại nhật ký của bạn. Nếu bạn thấy các giao dịch không rõ nguyên nhân, đừng xóa máy chủ. Gửi nhật ký đến đội ngũ bảo mật của BTCPay.
- Cập nhật trước khi khởi động lại. Khi bạn khởi động lại phiên bản, hãy sử dụng phiên bản 2.4.7 hoặc bất kỳ phiên bản vá nào tiếp theo.
- Xoay thông tin xác thực cho mọi tài khoản quản trị trên máy chủ và cho bất kỳ dịch vụ nào đã chia sẻ mật khẩu với nó.