BTCPay Server ha emesso un avviso di sicurezza di emergenza dopo che sono emersi rapporti di attaccanti che svuotavano Bitcoin da hot wallet ospitati sulla sua infrastruttura di pagamento, esortando gli operatori a spegnere i propri server mentre gli investigatori lavorano per determinare l'entità della compromissione.

L'avviso, pubblicato il 1 novembre, si applicava inizialmente a tutte le installazioni. I risultati successivi hanno da allora ristretto il presunto vettore di attacco alle versioni 2.4.1 e precedenti di BTCPay Server, e il progetto dichiara di non aver ricevuto rapporti credibili di furti da hot wallet riguardanti l'ultima versione 2.4.7. L'ammontare totale rubato, il numero di commercianti coinvolti e il metodo esatto utilizzato per compromettere i server restano non divulgati.

Svuotamenti di wallet ricondotti a software obsoleto

BTCPay Server ha chiesto agli operatori di portare immediatamente offline le proprie istanze tramite il comando ./btcpay-down.sh, dopo che erano emersi rapporti di prelievi non autorizzati da wallet connessi a Internet.

Il processore di pagamenti open source consente ai commercianti di accettare pagamenti in Bitcoin e Lightning Network senza dipendere da custodi centralizzati. La sua funzionalità opzionale di hot wallet, tuttavia, memorizza le credenziali di firma sul server stesso, esponendo potenzialmente i fondi se gli attaccanti ottengono accesso amministrativo. Gli hot wallet mantengono quelle chiavi online per consentire l'elaborazione automatica dei pagamenti, mentre l'archiviazione a freddo le tiene offline — un compromesso che lascia i commercianti self-custody senza alcun intermediario tra le proprie chiavi e un attaccante.

Il fondatore Nicolas Dorier ha dichiarato che le indagini preliminari hanno mostrato che gli attaccanti erano riusciti ad accedere ai server coinvolti come amministratori, sebbene il metodo utilizzato per ottenere tale accesso sia ancora in fase di esame. Le installazioni compromesse sembravano eseguire versioni rilasciate prima di agosto 2026, quando BTCPay Server ha introdotto la versione 2.4.2 per affrontare diverse vulnerabilità di sicurezza.

Il team ha successivamente identificato un vettore di attacco che interessa le versioni 2.4.1 e precedenti, sottolineando che i propri server pubblicamente accessibili che eseguono l'ultima versione non erano stati compromessi. Poiché il software è self-hosted, tuttavia, l'applicazione delle patch dipende dal fatto che i singoli operatori diano seguito agli avvisi del progetto — nessun fornitore centrale può aggiornare i server per conto dei commercianti.

I risultati sono arrivati pochi giorni dopo che BTCPay Server ha rilasciato la versione 2.4.7 il 29 ottobre, che affronta 85 vulnerabilità di sicurezza identificate tramite il programma di scansione di sicurezza open source di Anthropic. Le correzioni hanno coperto una vulnerabilità critica, 13 di gravità alta, 52 di gravità media e 19 di gravità bassa, riguardanti autenticazione, elaborazione dei pagamenti, accesso API e altri componenti. La versione è disponibile su GitHub, e il progetto ha condiviso il proprio avviso tramite X.

Sebbene all'ultima versione non siano collegate perdite confermate da hot wallet, l'indagine non ha ancora stabilito quale vulnerabilità specifica abbia consentito gli attacchi di novembre.

L'infrastruttura di pagamento Bitcoin sotto rinnovata pressione di sicurezza

L'incidente segue una violazione di agosto riguardante l'integrazione Lightning Network di BTCPay Server. Attaccanti avevano in precedenza sfruttato una vulnerabilità che consentiva l'accesso non autorizzato alle credenziali amministrative di LND, potenzialmente permettendo loro di controllare i nodi Lightning connessi e trasferire fondi. Quella debolezza era stata identificata durante una più ampia revisione di sicurezza di Bitcoin e corretta nella versione 2.4.2, e l'incidente precedente aveva interessato fondi connessi a LND rather che gli standard hot wallet on-chain di BTCPay Server.

I problemi di sicurezza si sono estesi anche ad altre applicazioni Bitcoin. In agosto, Core Lightning ha invitato gli operatori dei nodi a disconnettersi mentre gli sviluppatori preparavano aggiornamenti di sicurezza. Più di recente, Electrum ha corretto una vulnerabilità del wallet attivamente sfruttata dopo che attaccanti avevano manipolato i dati delle transazioni per dirottare pagamenti in Bitcoin.

BTCPay Server sta ora esortando gli operatori coinvolti a farsi avanti con i log pertinenti e i dettagli dell'incidente. Gli utenti sono invitati a mantenere le installazioni aggiornate, a ridurre al minimo i fondi conservati negli hot wallet e a trasferire gli asset rimanenti in un'archiviazione a freddo sicura ove necessario. Alcuni provider di hosting hanno sospeso preventivamente le istanze dei clienti che eseguono software vulnerabili per prevenire ulteriori perdite.

L'indagine è ancora in corso, senza cifre di recupero confermate né una spiegazione tecnica completa pubblicata finora. Sebbene il software più recente sembri non essere interessato dal vettore di attacco identificato, l'incidente sottolinea i rischi di un'infrastruttura di pagamento self-hosted obsoleta, in particolare quando le chiavi private rimangono accessibili su server connessi a Internet. L'attenzione si concentra ora sull'eventuale pubblicazione di un post-mortem tecnico completo da parte del progetto e su quanti commercianti coinvolti segnaleranno perdite man mano che arrivano i log.