BTCPay Server ha dichiarato che pagherà il 10% dei fondi recuperati, fino a 3 BTC, dopo che gli attaccanti hanno rubato le credenziali LND e prosciugato i wallet Lightning dei merchant la scorsa settimana.

BTCPay Server — un processore di pagamenti Bitcoin open-source e self-hosted, utilizzato da merchant in tutto il mondo per accettare BTC senza dipendere da provider di pagamento di terze parti — ha annunciato martedì di stanziare una ricompensa per la restituzione dei bitcoin rubati ai merchant la scorsa settimana, offrendo il 10% di quanto recuperato fino a un massimo di 3 BTC — del valore di circa 190.000 dollari ai prezzi attuali. L'offerta è aperta a chiunque sia in possesso di informazioni utili, inclusi gli stessi attaccanti. Il progetto ha invitato gli interessati a scrivere al proprio indirizzo di sicurezza e ha precisato che sono disponibili canali di comunicazione sicuri su richiesta.

Nel caso in cui più segnalazioni contribuiscano a un recupero, la ricompensa verrà suddivisa tra gli informatori e le vittime in proporzione all'entità delle perdite di ciascuna parte e al valore dimostrato di ciascuna informazione.

Il furto è derivato da una vulnerabilità che ha consentito agli attaccanti di ottenere le credenziali per LND — il software più diffuso per l'esecuzione di un nodo Lightning Network — e di prosciugare i wallet ad esso collegati. La Lightning Network è la principale soluzione di scaling di livello 2 di Bitcoin, che consente transazioni pressoché istantanee e a basso costo attraverso canali di pagamento off-chain da cui i merchant dipendono per le attività commerciali quotidiane. Il produttore di hardware wallet Foundation e la pubblicazione Bitcoin Citadel21 hanno entrambi segnalato pubblicamente la perdita di fondi. Né BTCPay né le vittime colpite hanno finora divulgato l'entità totale delle perdite.

La vulnerabilità è stata identificata da ricercatori associati al Bitcoin Red Team volontario, che ha iniziato a indirizzare modelli di intelligenza artificiale sui codebase Bitcoin questo mese. Il gruppo ha presentato migliaia di segnalazioni di bug su centinaia di progetti, inclusa la scoperta che ha portato alla patch per questa falla. L'episodio rappresenta uno dei primi casi documentati in cui la revisione del codice assistita dall'IA ha portato alla luce una vulnerabilità critica sfruttata in condizioni reali nell'infrastruttura di pagamento Bitcoin. BTCPay ha confermato di stare compensando i ricercatori che hanno individuato il problema, donando 0,21 BTC ciascuno allo sviluppatore Craig Raw e al fondo del Bitcoin Red Team.

We're donating 0.21 BTC to @craigraw and 0.21 BTC to the Bitcoin Red Team for their responsible security disclosure of the recent critical vulnerability. In addition, friends and supporters of the BTCPay Server project have committed to funding a bounty to recover the stolen… pic.twitter.com/qhs8zwoCvM
— BTCPay Server (@BtcpayServer) August 10, 2026

In un post separato, BTCPay ha comunicato che exchange, società di analisi blockchain e forze dell'ordine hanno tutti offerto assistenza nella tracciabilità dei fondi rubati. Il progetto ha esortato i merchant colpiti a presentare denunce alle forze dell'ordine locali e a qualsiasi servizio verso cui i fondi siano stati rintracciati. BTCPay ha inoltre consigliato ai merchant di conservare la maggior parte dei propri fondi in cold storage e di trasferire regolarmente l'eccesso fuori dagli hot wallet, "soprattutto durante questo periodo di rapido cambiamento guidato dall'IA."

Fonte: CoinDesk