Các kẻ tấn công đã giành quyền truy cập quản trị vào các phiên bản BTCPay Server lỗi thời và rút hết tiền trong các ví nóng, và các dấu vết cho thấy lỗ hổng này có từ trước khi vá vào tháng Tám.
Thiệt hại rơi vào những người vận hành chưa từng cập nhật, và nhóm phát triển vẫn chưa công bố tổng mức tổn thất. BTCPay Server là một trình xử lý thanh toán miễn phí, mã nguồn mở mà các bên chấp nhận thanh toán tự lưu trữ để nhận bitcoin. Trong cấu hình ví nóng, máy chủ tự lưu trữ các khóa riêng, cho phép phần mềm chuyển tiền mà không cần người vận hành ký từng giao dịch. Kết quả là, bất kỳ ai có quyền quản trị truy cập vào máy chủ như vậy đều có thể di chuyển số bitcoin của nó.
Những phiên bản nào đã trở thành mục tiêu của kẻ tấn công?
Đội ngũ BTCPay Server đã cảnh báo lần đầu tiên vào cuối ngày 1 tháng 11. Họ yêu cầu mọi người vận hành tắt phiên bản của mình cho đến khi kết thúc cuộc điều tra.
Sau đó, việc theo dõi đã thu hẹp phạm vi. Véc-tơ tấn công nhắm vào phiên bản 2.4.1, được phát hành vào ngày 23 tháng 7 năm 2026, và mọi phiên bản cũ hơn. Trong khi đó, nhóm cho biết họ không có báo cáo đáng tin cậy nào về việc rút tiền từ phiên bản 2.4.7 hiện tại.
Người sáng lập Nicolas Dorier cho biết kẻ tấn công đã đăng nhập với tư cách quản trị viên trên các máy chủ bị ảnh hưởng, mặc dù nhóm chưa xác định được cách thức thực hiện. Cho đến nay, cuộc điều tra đã phát hiện ra các dấu vết của lỗ hổng tồn tại trước phiên bản 2.4.2.
Việc xâm phạm đánh dấu ít nhất lần thứ hai trong ba tháng qua các kẻ tấn công đã đánh cắp tiền từ các phiên bản BTCPay Server chạy phiên bản cũ hơn 2.4.2. Phiên bản đó đã vá một lỗ hổng nghiêm trọng vào tháng Tám, cho phép kẻ tấn công từ xa lấy thông tin xác thực nút mạng Lightning và rút hết tiền trong các ví được kết nối.
Ngay cả khi đó, lỗ hổng đã đang bị khai thác tích cực.
Có đáng để mạo hiểm với ví nóng BTCPay Server không?
Các nhà cung cấp lưu trữ cũng đã hành động nhanh chóng. Nhóm cho biết LunaNode và các bên khác có thể đã tự động tắt các phiên bản của khách hàng để ngăn chặn các cuộc tấn công vào các phiên bản cũ hơn.
Dorier chạy phiên bản 2.4.7 với ví nóng riêng. Tuy nhiên, người sáng lập đã cảnh báo không nên giữ số tiền lớn trên bất kỳ máy chủ nào.
Đừng để nhiều hơn số tiền bạn sẵn sàng mất vào ví nóng. Chúng tôi không thể đảm bảo điều này sẽ không xảy ra nữa.
Nicolas Dorier, X
Sự cố này phù hợp với mô hình rộng hơn trong cơ sở hạ tầng Bitcoin tự lưu trữ. Core Lightning gần đây đã cảnh báo rằng những kẻ tấn công nhắm vào các nút mạng chưa được vá. Trong cả hai trường hợp, bản vá đã tồn tại trước khi bị đánh cắp, do đó điểm yếu nhất là một người vận hành đã cài đặt một phiên bản BTCPay Server một lần và không bao giờ cập nhật nó.
Bài viết Server BTCPay của bạn có an toàn không? Những gì cuộc điều tra về việc rút tiền từ ví nóng cho thấy xuất hiện đầu tiên trên BeInCrypto.