BTCPay Server alerta após roubo de hot wallet
Os atacantes atingiram sobretudo instâncias da BTCPay Server em versões antigas; o processador de pagamentos Bitcoin de código aberto pediu aos operadores que desligassem os seus servidores após o esvaziamento da hot wallet.
Pontos principais
- Os atacantes obtiveram acesso a instâncias desatualizadas da BTCPay Server e esvaziaram hot wallets.
- A BTCPay Server pediu aos operadores, em 1 de novembro, que desligassem a sua instância enquanto decorre a investigação.
- A versão 2.4.1 e anteriores foram afetadas; para a versão 2.4.7 não são conhecidas denúncias credíveis de esvaziamentos.
Os atacantes obtiveram acesso a instâncias desatualizadas da BTCPay Server e esvaziaram hot wallets aí. Segundo a equipa, os indícios apontam para falhas que já existiam antes de um patch em agosto, enquanto para a versão mais recente 2.4.7 não existem denúncias credíveis de esvaziamentos.
Versões antigas afetadas
A BTCPay Server pediu em 1 de novembro a todos os operadores que desligassem a sua instância até que a investigação esteja concluída. Depois disso, ficou mais claro que o vetor de ataque afeta a versão 2.4.1, lançada em 23 de julho de 2026, e tudo o que é mais antigo. Os danos afetam sobretudo utilizadores que nunca atualizaram, enquanto a perda total ainda não é conhecida.
O fundador Nicolas Dorier disse que o atacante se autenticou como admin nos servidores afetados, mas que ainda não está estabelecido como isso aconteceu exatamente. A investigação encontrou, no entanto, vestígios de vulnerabilidades mais antigas do que a versão 2.4.2. Isto é relevante, porque essa versão fechou em agosto uma falha crítica que permitia aos atacantes extrair remotamente dados de nós Lightning e esvaziar wallets associadas.
Porque é que as hot wallets são vulneráveis
A BTCPay Server é um processador de pagamentos Bitcoin de código aberto que os comerciantes alojam por sua conta. Numa configuração de hot wallet, o servidor guarda as chaves privadas, para que o sistema possa enviar pagamentos sem que o operador tenha de assinar cada transação separadamente. Quem obtiver acesso de administrador a um servidor destes pode, por isso, também mover as moedas.
A equipa afirma que prestadores de alojamento como a LunaNode poderão ter agido rapidamente ao desativar automaticamente as definições dos clientes em versões antigas. O próprio Dorier usa a versão 2.4.7 com uma hot wallet, mas avisou ao mesmo tempo que grandes quantias não devem estar num servidor. Escreveu que não se deve colocar lá mais do que aquilo que se está disposto a perder.
Risco mais amplo para a infraestrutura Bitcoin
O caso enquadra-se num padrão mais amplo em torno da infraestrutura Bitcoin autoalojada. A Core Lightning também alertou recentemente que os atacantes estão a visar nós sem patch. Para os utilizadores e empresas europeus de criptomoedas, isto mostra que a gestão própria pode dar mais controlo e privacidade, mas também exige uma gestão rigorosa das atualizações e uma resposta rápida aos alertas de segurança.
Também os nós Lightning vulneráveis estiveram recentemente sob fogo, o que mostra quão rapidamente uma infraestrutura Bitcoin sem patch se torna num alvo. O caso da BTCPay Server sublinha sobretudo que uma instalação única não é suficiente. Se o software não for atualizado, uma vulnerabilidade antiga pode ainda assim resultar em perda de Bitcoin meses mais tarde.