BTCPay Server ha invitato tutti gli operatori a portare offline le proprie istanze domenica, dopo che sono emerse segnalazioni secondo cui soggetti non autorizzati avevano avuto accesso e svuotato hot wallet collegati alla piattaforma di pagamento Bitcoin.

In un annuncio su X, il progetto ha chiesto a ogni amministratore di istanza di portare il proprio server offline usando il comando di spegnimento e di attendere la conclusione dell'indagine.

"Stiamo ricevendo segnalazioni di hot wallet su BTCPay Server svuotati da attaccanti non autorizzati. Se state eseguendo un'istanza, spegnatela (./btcpay-down.sh) fino a quando non completeremo l'indagine", ha dichiarato BTCPay Server su X.

Poiché BTCPay Server è self-hosted, la responsabilità dello spegnimento ricade interamente sui proprietari dei singoli server. Il progetto non ha ancora reso note la causa principale dell'incidente, il numero di server coinvolti né l'ammontare totale del furto.

Perché gli hot wallet sono esposti

Secondo la documentazione di BTCPay Server, la funzionalità di hot wallet memorizza il seed direttamente sul server per firmare le transazioni e consente pagamenti rapidi senza dipendere da hardware esterno. Questa comodità, tuttavia, ha reso gli hot wallet notevolmente più vulnerabili rispetto alle soluzioni cold storage.

Gli hot wallet conservano le chiavi private su sistemi connessi a Internet, quindi gli attaccanti che compromettono l'infrastruttura sottostante possono accedervi. I cold wallet, al contrario, conservano le chiavi di firma offline. Il compromesso è la velocità: gli hot wallet privilegiano la comodità e permettono ai commercianti di elaborare le transazioni più rapidamente, mentre i cold wallet puntano sulla sicurezza.

Per le aziende che usano BTCPay Server per accettare pagamenti in Bitcoin, un hot wallet compromesso potrebbe esporre fondi destinati ai saldi dei commercianti o alle transazioni dei clienti. L'avviso solleva quindi interrogativi su come gli operatori possano bilanciare la comodità dei pagamenti con la necessità di proteggere le chiavi private da accessi non autorizzati.

Samson Mow, CEO di JAN3, azienda tecnologica nel settore BTC, ha commentato l'incidente: "Ritengo che sia prioritario far lavorare insieme SamRock e Indra il prima possibile, così che gli utenti di BTCPay possano ricevere direttamente su Aqua Bitcoin e fare regolarmente swap verso il cold".

Terzo incidente di sicurezza negli ultimi mesi

La richiesta di spegnimento è il terzo incidente di sicurezza a colpire il progetto in breve tempo. Solo pochi giorni prima, il 29 ottobre, BTCPay Server aveva rilasciato un aggiornamento d'emergenza, la versione 2.4.7, per affrontare questa vulnerabilità e altre.

Ad agosto, gli attaccanti avevano sfruttato una falla di sicurezza separata, portando al furto di chiavi della Lightning Network e allo svuotamento di più nodi collegati, incluso uno appartenente a Foundation, produttore di hardware wallet. All'epoca, BTCPay Server aveva assicurato agli utenti che i loro standard on-chain wallet e gli hot wallet integrati erano al sicuro da quell'attacco. Aveva comunque chiesto agli utenti di aggiornare i propri server alla versione 2.4 o, almeno temporaneamente, di disattivare le proprie istanze fino a quando non fossero riusciti a farlo, riducendo così il rischio di accessi non autorizzati.

Fino alla conclusione dell'indagine in corso, si consiglia agli operatori di verificare l'attività dei server, i saldi dei wallet e gli storici delle transazioni per individuare eventuali movimenti sospetti. Chi sospetta che il proprio hot wallet sia stato compromesso non dovrebbe continuare a usare chiavi di firma potenzialmente esposte. L'incidente sottolinea inoltre perché i backup vanno mantenuti al sicuro e perché saldi elevati in Bitcoin dovrebbero essere conservati offline anziché in wallet collegati a infrastrutture di pagamento. Con la causa principale, il numero di server coinvolti e l'ammontare totale del furto ancora tutti non resi noti, la conclusione dell'indagine di BTCPay Server è l'evoluzione immediata che commercianti e operatori della piattaforma dovranno monitorare.

L'exploit contro Coldcard ha causato perdite di almeno 116 milioni di dollari

Anche l'intero settore ha affrontato problemi simili. Ad agosto, Coldcard, un noto produttore di wallet dedicati esclusivamente a Bitcoin, è stata colpita da un exploit che ha causato finora perdite confermate di almeno 116 milioni di dollari.

Secondo il CEO di Blockaid, Ido Ben-Natan, l'incidente Coldcard ha esposto una debolezza fondamentale delle criptovalute: la dipendenza da chiavi private che possono diventare un singolo punto di guasto.

"È un tipo di accesso a uso singolo per queste cose. Ora c'è un aspetto positivo: nessun altro può entrare e accedere a queste cose. Il lato negativo è che si tratta di un singolo punto di guasto", ha detto Ben-Natan.

Ha aggiunto: "La lezione qui è che lasciare i propri asset da qualche parte dimenticandosene e senza pensarci non è in realtà la soluzione, perché il ritmo dell'evoluzione della sicurezza è costante. Devi o essere continuamente paranoico oppure delegare quel processo decisionale a qualcun altro".

L'exploit è nato da un grave bug del firmware che consentiva di corrompere la procedura di generazione del wallet sui dispositivi Coldcard. Questo difetto ha eliminato il fattore di randomizzazione necessario per creare wallet sicuri, permettendo agli attaccanti di calcolare le chiavi private e svuotare i wallet dei loro Bitcoin. Più di 7.000 indirizzi sono stati coinvolti, secondo la società di ricerca K33.

Si tratta di un fenomeno diffuso in tutto il settore: in media, quasi tre quarti del denaro sottratto dagli exploit crittografici nel primo semestre del 2026 è stato collegato a violazioni di chiavi private.