BTCPay Server waarschuwt na hot wallet-diefstal
Aanvallers troffen vooral BTCPay Server-instanties op oude versies; de open-source Bitcoin-betaalprocessor vroeg operators hun servers uit te schakelen na de hot wallet-drain.
Korte samenvatting
- Aanvallers kregen toegang tot verouderde BTCPay Server-instanties en haalden daar hot wallets leeg.
- BTCPay Server vroeg operators op 1 november hun instantie uit te schakelen zolang het onderzoek loopt.
- Versie 2.4.1 en ouder zijn geraakt; voor versie 2.4.7 zijn geen geloofwaardige meldingen van drains bekend.
Aanvallers hebben toegang gekregen tot verouderde BTCPay Server-instanties en daar hot wallets leeggehaald. Volgens het team wijzen de sporen op fouten die al bestonden vóór een patch in augustus, terwijl er voor de nieuwste release 2.4.7 geen geloofwaardige meldingen van drains zijn.
Oude versies geraakt
BTCPay Server vroeg op 1 november alle operators om hun instantie uit te schakelen totdat het onderzoek is afgerond. Daarna werd duidelijker dat de aanvalsvector versie 2.4.1 raakt, die op 23 juli 2026 verscheen, en alles wat ouder is. De schade treft vooral gebruikers die nooit hebben geüpdatet, terwijl het totale verlies nog niet bekend is.
Founder Nicolas Dorier zei dat de aanvaller zich als admin op de getroffen servers heeft aangemeld, maar dat nog niet vaststaat hoe dat precies is gebeurd. Het onderzoek vond wel sporen van kwetsbaarheden die ouder zijn dan versie 2.4.2. Dat is relevant, omdat die release in augustus al een kritieke fout dichtte waarmee aanvallers op afstand Lightning node-gegevens konden buitmaken en gekoppelde wallets konden leegtrekken.
Waarom hot wallets kwetsbaar zijn
BTCPay Server is een open-source Bitcoin-betaalprocessor die merchants zelf hosten. In een hot wallet-opzet bewaart de server de private keys zelf, zodat het systeem betalingen kan versturen zonder dat de operator elke transactie apart tekent. Wie admin-toegang krijgt tot zo'n server, kan daardoor ook de coins verplaatsen.
Het team zegt dat hostingpartijen zoals LunaNode mogelijk snel hebben ingegrepen door klantinstellingen automatisch uit te schakelen op oude versies. Dorier gebruikt zelf versie 2.4.7 met een hot wallet, maar waarschuwde tegelijk dat grote bedragen niet op een server thuishoren. Hij schreef dat je er niet meer op moet zetten dan je bereid bent te verliezen.
Breder risico voor Bitcoin-infrastructuur
De zaak past in een breder patroon rond zelfgehoste Bitcoin-infrastructuur. Core Lightning waarschuwde onlangs ook al dat aanvallers on-gepatchte nodes targeten. Voor Europese crypto-gebruikers en bedrijven laat dit zien dat zelfbeheer meer controle en privacy kan geven, maar ook vraagt om strak updatebeheer en snelle reactie op beveiligingsmeldingen.
Ook kwetsbare Lightning-nodes kwamen recent al onder vuur te liggen, wat laat zien hoe snel on-gepatchte Bitcoin-infrastructuur een doelwit wordt. De BTCPay Server-zaak onderstreept vooral dat een eenmalige installatie niet genoeg is. Als software niet wordt bijgewerkt, kan een oude kwetsbaarheid maanden later alsnog uitmonden in verlies van Bitcoin.