BTCPay Server, il software open-source self-hosted per l'elaborazione dei pagamenti che consente ai merchant di accettare Bitcoin senza dipendere da un custode di terze parti, ha rilasciato un aggiornamento di emergenza per risolvere una vulnerabilità critica attualmente sfruttata per sottrarre fondi agli utenti.

Come descritto nella pull request #7491 su GitHub, la falla consente agli attaccanti di aggirare l'autenticazione a due fattori basata su TOTP attraverso la Basic Authentication della Greenfield API di BTCPay. La causa principale risiede nel modo in cui il meccanismo di autenticazione verificava se fossero registrate credenziali FIDO2 valide, anziché confermare se l'autenticazione a due fattori fosse effettivamente attiva. Di conseguenza, gli account protetti da un'app di autenticazione TOTP potevano essere accessibili via API utilizzando solo un indirizzo email e una password. La Greenfield API è l'interfaccia REST di BTCPay utilizzata per l'integrazione programmatica con piattaforme di e-commerce, sistemi POS e flussi di lavoro automatizzati, il che significa che i merchant con configurazioni basate su API sono i più esposti.

La vulnerabilità riguarda il livello applicativo di BTCPay e non influisce sul protocollo Bitcoin (BTC). BTCPay ha rilasciato la versione 2.4.2 del software il 7 agosto e ha consigliato a tutti gli utenti di assicurarsi di aver aggiornato anche NBXplorer alla versione 2.6.10.

BTCPay ha affrontato pubblicamente l'incidente tramite il suo account X.

La risposta del mercato rimane contenuta

Nonostante le preoccupazioni per la sicurezza, il prezzo di mercato e la valutazione di Bitcoin sono rimasti relativamente stabili. Secondo CoinMarketCap, Bitcoin è scambiato a circa 64.889 dollari, con un aumento dello 0,82% rispetto al giorno precedente, mentre la capitalizzazione di mercato di 1,3 trilioni di dollari è salita solo dello 0,79%. Sebbene il volume delle 24 ore sia aumentato del 20,98%, il prezzo e la capitalizzazione stabili suggeriscono che l'incidente non ha avuto un impatto materiale sulla valutazione di mercato complessiva di Bitcoin.

La reazione contenuta del mercato è coerente con la natura della vulnerabilità. La falla di BTCPay colpisce singoli merchant e operatori, non le regole di consenso o le fondamenta crittografiche di Bitcoin. Tuttavia, l'impatto non deve essere sottovalutato. BTCPay funge da ponte tra la rete Bitcoin e i sistemi di pagamento aziendali, gestendo fatturazione, elaborazione dei pagamenti e gestione dei wallet. La struttura non-custodial della piattaforma significa che i merchant mantengono il controllo diretto delle proprie chiavi private, un motivo chiave per cui molti l'hanno preferita ai processor ospitati. Un bypass dell'autenticazione che concede agli attaccanti l'accesso agli account degli operatori mina direttamente quel modello di sicurezza, esponendo potenzialmente le funzioni di gestione del wallet e i dati di pagamento anche se i fondi non sono custoditi da terze parti.

Linee guida di remediation per gli operatori

La soluzione immediata è semplice: aggiornare BTCPay Server alla versione 2.4.2 e, per gli integratori, aggiornare NBXplorer alla versione 2.6.10. BTCPay consiglia di utilizzare le chiavi API al posto della Basic Authentication, poiché le chiavi API consentono controlli dei permessi più granulari.

La patch introduce modifiche al processo di autenticazione che verificano se la 2FA è effettivamente attiva, chiudendo la falla che precedentemente permetteva agli account protetti da TOTP di aggirare il secondo fattore di autenticazione. Poiché BTCPay è self-hosted, gli operatori non possono affidarsi a un provider centrale per applicare la patch e devono agire in modo indipendente, una realtà che significa anche che la finestra di esposizione può rimanere aperta per le implementazioni non monitorate o mantenute attivamente. Ulteriore documentazione è disponibile da BTCPay.

Un pattern di vulnerabilità nell'infrastruttura di pagamento

L'annuncio di BTCPay segue una settimana turbolenta per l'infrastruttura di pagamento Bitcoin. Come già riportato, ZEUS, un provider di wallet Lightning, ha disattivato la propria infrastruttura di pagamento a causa di un problema di sicurezza, con altri provider di servizi Lightning anch'essi colpiti.

Questi incidenti non indicano falle nei protocolli di pagamento principali di Bitcoin. Tuttavia, evidenziano i rischi di sicurezza introdotti dai livelli software costruiti attorno alla blockchain. Per i merchant che valutano gli stack di pagamento Bitcoin, la natura ricorrente di queste disclosure sottolinea che la selezione dell'infrastruttura comporta ora un rischio operativo continuo paragonabile alla gestione dei gateway di pagamento tradizionali, inclusa la necessità di tracciare le patch, verificare gli accessi e pianificare le risposte agli incidenti.

Uno studio del 2024 condotto da ricercatori della Northeastern University e della TU Delft ha utilizzato la modellazione formale per identificare punti deboli di sicurezza nel protocollo di pagamento single-hop di Lightning, inclusa un'azione di attacco appena descritta chiamata "Payout Race". Uno studio separato del 2026 ha esaminato gli attacchi di balance-discovery, scoprendo che gli attaccanti potevano inferire informazioni sui saldi dei canali Lightning. La mitigazione proposta ha ridotto la fuoriuscita di informazioni fino al 62% nelle simulazioni.

Entrambi gli studi sottolineano una realtà più ampia: la sicurezza di Bitcoin va ben oltre la blockchain stessa. Wallet, API, processor di pagamento e infrastruttura Lightning introducono tutte ulteriori superfici di attacco.

Lo storico di vulnerabilità di BTCPay

Questo non è il primo bug critico di BTCPay. A gennaio 2023, il progetto ha divulgato la CVE-2022-32984, una grave fuga di informazioni che interessava le versioni 1.3.0, 1.4.0 e 1.5.3 di BTCPay. Tale falla poteva esporre dettagli sensibili dei negozi, inclusi un xpub e le credenziali Lightning collegate a un nodo esterno, attraverso applicazioni Point of Sale accessibili pubblicamente. BTCPay ha risolto il problema nella versione 1.5.4 e ha premiato il ricercatore Antoine Poinsot con una bounty di 5.000 dollari.

La distinzione tra i due incidenti è evidente: la vulnerabilità del 2023 riguardava una divulgazione di informazioni, mentre la falla attuale coinvolge un bypass dell'autenticazione che aggira la sicurezza TOTP attraverso la Greenfield API. La progressione dall'esposizione dei dati all'aggiramento attivo dell'autenticazione riflette la crescente sofisticazione delle vulnerabilità identificate nel software adiacente a Bitcoin.

Posti in gioco sempre più alti per i merchant

Il profilo di rischio per i merchant si sta intensificando man mano che l'adozione di Bitcoin per i pagamenti accelera. Una ricerca di River pubblicata a febbraio 2026 ha rilevato che l'uso medio di Bitcoin da parte dei merchant è aumentato del 74% nel solo 2025, mentre l'utilizzo di Lightning è cresciuto del 300%, superando 1 miliardo di dollari in volume mensile.

L'infrastruttura circostante è sostanziale. BuiltWith ha rilevato 248 siti web che utilizzano BTCPay Server, inclusi 74 installazioni attive, cifre che non tengono conto delle implementazioni private o altrimenti non rilevabili. Nel frattempo, l'ultimo snapshot di 1ML mostra 6.280 nodi Lightning, 21.221 canali e una capacità totale di rete di 2.818,49 BTC.

A questa scala, le vulnerabilità nell'infrastruttura circostante comportano conseguenze significative, anche quando il livello base di Bitcoin rimane intatto. L'incidente di BTCPay non indica una falla in Bitcoin stesso; piuttosto, dimostra che le aziende costruite su Bitcoin ereditano un onere di sicurezza più ampio. La blockchain può continuare a funzionare come progettato, ma le applicazioni su cui i merchant fanno affidamento possono diventare punti di fallimento.

Per gli operatori BTCPay, le priorità sono chiare: aggiornare alla versione 2.4.2, esaminare i log di autenticazione e di accesso per individuare segni di compromissione e passare dalla Basic Authentication a chiavi API specifiche ove possibile.