O BTCPay Server alertou os usuários para desligarem seus servidores de pagamento após receber relatos de que atacantes obtiveram acesso não autorizado a instalações mais antigas e drenaram fundos de carteiras Bitcoin hot conectadas.
Resumo
- O BTCPay Server instou os operadores a desligarem seus servidores de pagamento após receber relatos de que atacantes obtiveram acesso não autorizado e drenaram fundos de carteiras Bitcoin hot conectadas.
- A investigação do projeto identificou um vetor de ataque que afeta instalações executando a versão 2.4.1 ou anterior, enquanto a versão mais recente, 2.4.7, não tem relatos credíveis de drenagem de carteiras.
- O cofundador do BTCPay Server, Nicolas Dorier, disse que os atacantes conseguiram fazer login com privilégios de administrador em instâncias afetadas, embora os investigadores ainda não tenham determinado como obtiveram acesso.
- Provedores de hospedagem, incluindo a LunaNode, tomaram medidas preventivas para desligar algumas instalações, enquanto os usuários afetados foram solicitados a enviar detalhes do incidente e logs do servidor.
- O BTCPay Server não divulgou o valor total de criptomoedas roubadas nem o número de servidores comprometidos, e sua investigação continua em andamento.
Em um alerta de segurança de 2 de novembro, o processador de pagamentos Bitcoin de código aberto disse que estava investigando relatos de saques não autorizados de carteiras e pediu aos operadores que desligassem temporariamente suas instâncias usando o script ./btcpay-down.sh.
O aviso inicialmente se aplicava a todos os usuários enquanto a equipe trabalhava para determinar como os atacantes estavam obtendo acesso. Uma investigação subsequente restringiu o suposto vetor de ataque a instalações executando a versão 2.4.1, lançada em 23 de julho de 2026, ou anterior.
O BTCPay Server disse que não recebeu relatos credíveis de drenagem de carteiras hot envolvendo a versão mais recente, 2.4.7, e instou os operadores a manterem seu software atualizado.
O projeto não divulgou quanto de criptomoeda foi roubado, quantos servidores foram comprometidos ou quantos usuários relataram perdas.
BTCPay Server identifica instalações mais antigas como alvos de ataque
De acordo com o aviso mais recente do projeto, sua investigação de resposta a incidentes identificou um vetor de ataque que afeta versões mais antigas do software de pagamento, embora a equipe ainda não tenha explicado publicamente a falha técnica que permitiu as intrusões.
O BTCPay Server é um processador de pagamentos de criptomoedas auto-hospedado que permite a comerciantes e indivíduos aceitar pagamentos em Bitcoin sem depender de um intermediário de pagamento tradicional. Os operadores podem gerenciar sua própria infraestrutura de pagamento e conectar carteiras para receber e gerenciar fundos.
Os ataques relatados envolveram carteiras hot, que permanecem conectadas a sistemas online e podem ser usadas para enviar transações de criptomoedas. Os fundos mantidos nessas carteiras podem ficar expostos se os atacantes obtiverem acesso suficiente aos sistemas que as controlam.
Em seu aviso inicial, o BTCPay Server disse que estava recebendo relatos de carteiras hot sendo varridas por atacantes não autorizados. Uma varredura de carteira envolve a transferência de fundos disponíveis de um ou mais endereços para outro destino.
As instruções do projeto pediam que os operadores desligassem suas instâncias enquanto a investigação continuava. Sua atualização posterior forneceu informações mais específicas sobre as versões de software afetadas e a ausência de relatos credíveis de drenagem envolvendo a versão 2.4.7.
Usuários que acreditam que seus servidores foram comprometidos foram solicitados a enviar detalhes do incidente e logs de sistema relevantes para [email protected].
Fundador do BTCPay Server diz que atacantes obtiveram acesso de administrador
O cofundador do BTCPay Server, Nicolas Dorier, forneceu mais detalhes sobre as suspeitas de intrusões em uma declaração separada em 2 de novembro.
Dorier disse que os servidores públicos do projeto, que estavam executando a versão 2.4.7, não foram atacados. Com base nos relatórios disponíveis para ele, as instalações afetadas pareciam estar executando versões lançadas antes da 2.4.2.
Ele explicou que o atacante conseguiu fazer login com privilégios de administrador nas instâncias afetadas, mas a equipe ainda estava tentando determinar como esse acesso foi obtido.
O acesso de administrador pode dar a alguém controle sobre configurações e funções importantes do servidor, dependendo da configuração do software e das permissões disponíveis para a conta.
O incidente mais recente segue uma violação de segurança anterior em agosto, quando o BTCPay Server alertou sobre uma vulnerabilidade ativamente explorada que poderia resultar em fundos roubados.
Como o crypto.news relatou anteriormente, o projeto instou os usuários a atualizar para a versão 2.4.2 imediatamente ou desligar seus servidores se não pudessem instalar o patch de segurança.
A vulnerabilidade de agosto permitiu que atacantes obtivessem credenciais macaroon de administrador do LND de instalações afetadas e acessassem carteiras Lightning conectadas. O BTCPay Server disse que a falha não comprometeu carteiras on-chain comuns, incluindo carteiras quentes.
O projeto subsequentemente anunciou uma recompensa de recuperação equivalente a 10% dos fundos recuperados, limitada a 3 BTC se todos os ativos roubados fossem recuperados.
A Fundação BTCPay Server comprometeu 0,21 BTC cada para o desenvolvedor do Sparrow Wallet, Craig Raw, e para o fundo Bitcoin Red Team por descobrir e relatar a vulnerabilidade anterior.
Provedores de hospedagem desligam algumas instâncias do BTCPay Server
Após o alerta mais recente, os provedores de hospedagem começaram a tomar medidas preventivas para evitar que instalações mais antigas permanecessem expostas.
Em outra atualização de 2 de novembro, o BTCPay Server disse que os usuários que executam o software por meio de um provedor de hospedagem podem descobrir que suas instâncias já foram desligadas automaticamente.
O projeto agradeceu à LunaNode e a outras empresas de hospedagem por responderem rapidamente após seu anúncio inicial.
Esses desligamentos significam que alguns operadores podem não conseguir acessar seus servidores de pagamento até que seu provedor de hospedagem restaure o serviço ou a instalação afetada seja colocada novamente online.
O BTCPay Server não publicou uma lista completa de provedores de hospedagem que suspenderam instâncias nem divulgou quantos servidores foram colocados offline.
O alerta de segurança vem após outro incidente recente envolvendo infraestrutura de pagamento Bitcoin. Em setembro, o Core Lightning alertou os operadores de que atacantes estavam visando nós Lightning mais antigos e sem patch.
O Core Lightning disse que recebeu relatos de ataques contra instalações vulneráveis, embora não tenha estabelecido se essas tentativas resultaram em fundos roubados.
Investigação de segurança continua enquanto usuários relatam perdas de carteira
O design auto-hospedado do BTCPay Server dá aos operadores controle direto sobre seus sistemas de pagamento, incluindo atualizações de software, administração de servidores e configurações de carteira.
O projeto recomendou limitar a quantidade de criptomoeda mantida em carteiras quentes e mover o excesso de fundos para armazenamento frio, onde as chaves privadas são mantidas offline.
Seu lançamento mais recente, versão 2.4.7, foi identificado como a versão para a qual a equipe não recebeu relatos credíveis de drenagem de carteiras. A declaração não estabeleceu que todas as versões anteriores foram comprometidas ou que todas as instalações executando uma versão afetada sofreram uma perda.
O BTCPay Server pediu aos operadores afetados que preservem e enviem os logs à sua equipe de segurança, enquanto os investigadores continuam examinando o acesso de administrador relatado por Dorier.
Nenhum cronograma público foi fornecido para a conclusão da investigação, e o projeto não anunciou qualquer recuperação de criptomoeda retirada das carteiras afetadas.
