BTCPay Server ostrzega po kradzieży z hot walletów
Atakujący uderzyli głównie w instancje BTCPay Server działające na starych wersjach; open-source’owy procesor płatności Bitcoin poprosił operatorów o wyłączenie serwerów po opróżnieniu hot walletów.
Najważniejsze informacje
- Atakujący uzyskali dostęp do przestarzałych instancji BTCPay Server i opróżnili z nich hot wallety.
- BTCPay Server poprosił operatorów 1 listopada o wyłączenie instancji na czas trwania dochodzenia.
- Wersja 2.4.1 i starsze zostały dotknięte; nie ma wiarygodnych zgłoszeń o drainach dotyczących wersji 2.4.7.
Atakujący uzyskali dostęp do przestarzałych instancji BTCPay Server i opróżnili tam hot wallety. Według zespołu ślady wskazują na błędy, które istniały już przed łatką z sierpnia, podczas gdy dla najnowszego wydania 2.4.7 nie ma wiarygodnych zgłoszeń o drainach.
Dotknięte stare wersje
BTCPay Server poprosił 1 listopada wszystkich operatorów o wyłączenie swoich instancji do czasu zakończenia dochodzenia. Później stało się jasne, że wektor ataku dotyczy wersji 2.4.1, która ukazała się 23 lipca 2026 roku, oraz wszystkiego, co starsze. Straty dotyczą przede wszystkim użytkowników, którzy nigdy nie zaktualizowali oprogramowania, a całkowita skala strat nie jest jeszcze znana.
Założyciel Nicolas Dorier powiedział, że atakujący zalogował się jako admin na zaatakowanych serwerach, ale nie wiadomo jeszcze, jak dokładnie do tego doszło. Dochodzenie wykazało jednak ślady podatności starszych niż wersja 2.4.2. Ma to znaczenie, ponieważ to wydanie w sierpniu załatało już krytyczny błąd, który pozwalał atakującym zdalnie wykradać dane Lightning node i opróżniać powiązane wallety.
Dlaczego hot wallety są podatne na ataki
BTCPay Server to open-source’owy procesor płatności Bitcoin, hostowany samodzielnie przez sprzedawców. W konfiguracji hot wallet serwer sam przechowuje klucze prywatne, dzięki czemu system może wysyłać płatności bez osobnego podpisywania każdej transakcji przez operatora. Kto uzyska dostęp admina do takiego serwera, może więc również przenieść monety.
Zespół twierdzi, że dostawcy hostingu, tacy jak LunaNode, mogli szybko zareagować, automatycznie wyłączając ustawienia klientów na starych wersjach. Dorier sam korzysta z wersji 2.4.7 z hot wallet, ale jednocześnie ostrzegł, że duże kwoty nie powinny znajdować się na serwerze. Napisał, że nie należy trzymać tam więcej, niż jest się gotowym stracić.
Szersze ryzyko dla infrastruktury Bitcoin
Sprawa wpisuje się w szerszy wzorzec dotyczący samodzielnie hostowanej infrastruktury Bitcoin. Core Lightning również niedawno ostrzegł, że atakujący celują w niezałatane node’y. Dla europejskich użytkowników kryptowalut i firm pokazuje to, że samodzielne zarządzanie może dawać większą kontrolę i prywatność, ale wymaga też ścisłego zarządzania aktualizacjami i szybkiej reakcji na komunikaty bezpieczeństwa.
Także podatne node’y Lightning znalazły się ostatnio pod ostrzałem, co pokazuje, jak szybko niezałatana infrastruktura Bitcoin staje się celem. Sprawa BTCPay Server przede wszystkim podkreśla, że jednorazowa instalacja nie wystarczy. Jeśli oprogramowanie nie jest aktualizowane, stara luka może po miesiącach doprowadzić do utraty Bitcoinów.