BTCPay Server avverte dopo il furto dagli hot wallet
Gli attaccanti hanno colpito soprattutto istanze di BTCPay Server su versioni vecchie; il processore di pagamenti Bitcoin open source ha chiesto agli operatori di spegnere i loro server dopo il drain dell'hot wallet.
In breve
- Gli attaccanti hanno ottenuto accesso a istanze obsolete di BTCPay Server e hanno svuotato gli hot wallet.
- BTCPay Server ha chiesto agli operatori il 1 novembre di spegnere la propria istanza finché l'indagine è in corso.
- La versione 2.4.1 e precedenti sono state colpite; per la versione 2.4.7 non sono noti report credibili di drain.
Gli attaccanti hanno ottenuto accesso a istanze obsolete di BTCPay Server e hanno svuotato gli hot wallet. Secondo il team, le tracce indicano errori già presenti prima di una patch di agosto, mentre per la release più recente 2.4.7 non ci sono segnalazioni credibili di drain.
Colpite le versioni vecchie
BTCPay Server ha chiesto il 1 novembre a tutti gli operatori di spegnere la propria istanza finché l'indagine non sarà conclusa. In seguito è emerso più chiaramente che il vettore d'attacco riguarda la versione 2.4.1, uscita il 23 luglio 2026, e tutto ciò che è più vecchio. Il danno colpisce soprattutto gli utenti che non hanno mai aggiornato, mentre la perdita totale non è ancora nota.
Il fondatore Nicolas Dorier ha detto che l'attaccante si è autenticato come admin sui server colpiti, ma non è ancora chiaro come sia successo esattamente. L'indagine ha però trovato tracce di vulnerabilità più vecchie della versione 2.4.2. Questo è rilevante, perché quella release aveva già corretto in agosto un errore critico che permetteva agli attaccanti di sottrarre da remoto i dati dei nodi Lightning e svuotare i wallet collegati.
Perché gli hot wallet sono vulnerabili
BTCPay Server è un processore di pagamenti Bitcoin open source che i merchant gestiscono in proprio. In una configurazione con hot wallet, il server conserva da solo le private key, così il sistema può inviare pagamenti senza che l'operatore firmi ogni transazione separatamente. Chi ottiene accesso admin a un server del genere può quindi spostare anche le coin.
Il team dice che provider di hosting come LunaNode potrebbero essere intervenuti rapidamente disattivando automaticamente le impostazioni dei clienti sulle versioni vecchie. Dorier usa lui stesso la versione 2.4.7 con un hot wallet, ma ha anche avvertito che somme grandi non dovrebbero stare su un server. Ha scritto che non bisogna metterci più di quanto si è disposti a perdere.
Rischio più ampio per l'infrastruttura Bitcoin
Il caso si inserisce in un quadro più ampio legato all'infrastruttura Bitcoin self-hosted. Anche Core Lightning ha avvertito di recente che gli attaccanti stanno prendendo di mira i nodi non patchati. Per gli utenti e le aziende crypto europee, questo mostra che la gestione autonoma può dare più controllo e privacy, ma richiede anche una gestione rigorosa degli aggiornamenti e una risposta rapida agli avvisi di sicurezza.
Anche i nodi Lightning vulnerabili sono finiti di recente sotto pressione, e questo mostra quanto velocemente un'infrastruttura Bitcoin non aggiornata diventi un bersaglio. Il caso BTCPay Server sottolinea soprattutto che una configurazione una tantum non basta. Se il software non viene aggiornato, una vecchia vulnerabilità può comunque trasformarsi in una perdita di Bitcoin anche mesi dopo.