L'attaccante ha effettuato l'accesso come admin su server BTCPay obsoleti prima dei prelievi dagli hot wallet, secondo il fondatore
Punti chiave
- •Secondo l'aggiornamento sulle indagini del progetto, i prelievi dagli hot wallet di domenica hanno colpito istanze di BTCPay Server con la versione 2.4.1, rilasciata il 23 luglio, o precedenti.
- •BTCPay ha emesso un avviso esortando tutti gli operatori a spegnere le proprie istanze e non ha segnalato prelievi credibili dagli hot wallet tra gli utenti della versione 2.4.7, rilasciata il 29 ottobre.
- •Nelle intrusioni segnalate, gli attaccanti hanno effettuato l'accesso come amministratori, e BTCPay non ha ancora determinato come tale accesso sia stato ottenuto.
- •La versione 2.4.2, rilasciata il 7 agosto, ha corretto una vulnerabilità attivamente sfruttata che permetteva ad attaccanti non autenticati di rubare le credenziali macaroon di LND e prendere il controllo dei nodi Lightning, ma BTCPay non ha confermato se quel bug sia stato usato domenica, precisando che il bug di agosto non richiedeva autenticazione mentre gli attacchi di domenica prevedevano accessi come amministratori.
- •Dorier ha affermato che gli operatori che hanno aggiornato almeno una volta da quando la 2.4.2 è stata rilasciata non hanno motivo di preoccuparsi, avvertendo al contempo gli utenti di non tenere troppo in un hot wallet.
I prelievi dagli hot wallet segnalati domenica sembrano aver colpito istanze di BTCPay Server con versioni precedenti alla 2.4.2, secondo Nicolas Dorier, fondatore di BTCPay Server. In questi casi l'attaccante ha effettuato l'accesso come amministratore, e il team ha dichiarato di star ancora lavorando per determinare come tale accesso sia stato ottenuto.
Le indagini indicano la 2.4.1 o versioni precedenti
BTCPay ha emesso un avviso alle 17:25 ET di domenica, pubblicato su X, esortando chiunque gestisca un'istanza a spegnerla con ./btcpay-down.sh fino alla conclusione delle indagini. Dorier è intervenuto circa due ore dopo, precisando che i server pubblici di BTCPay, che eseguono la versione 2.4.7, non erano stati attaccati. Ha poi dichiarato che il team aveva tracce indicanti che "sono state sfruttate vulnerabilità precedenti alla 2.4.2".
Un aggiornamento pubblicato da BTCPay alle 23:07 ET (qui e qui) ha ristretto il bersaglio: gli investigatori hanno individuato un vettore d'attacco diretto contro istanze con la versione 2.4.1, rilasciata il 23 luglio, o precedenti.
Il progetto ha segnalato "nessuna segnalazione credibile di prelievi dagli hot wallet" da parte di utenti sulla 2.4.7, rilasciata il 29 ottobre. Ha consigliato agli operatori di mantenere il software aggiornato e ha chiesto alle vittime di inviare dettagli e log al proprio team di sicurezza.
Alcuni provider di hosting potrebbero aver spento automaticamente le istanze per impedire lo sfruttamento delle versioni precedenti. BTCPay ha ringraziato LunaNode e altri per la loro pronta azione. Dorier ha dichiarato che gli operatori che hanno aggiornato almeno una volta da quando la 2.4.2 è stata rilasciata non hanno "motivi di preoccuparsi", avvertendo al contempo gli utenti di non tenere troppo in un hot wallet e promettendo un post sul blog con maggiori dettagli.
I prelievi di domenica hanno raggiunto fondi che l'avviso di agosto riteneva sicuri
Poiché BTCPay è self-hosted, il progetto non può modificare o spegnere il server di un commerciante. La sua modalità hot wallet firma i pagamenti con un seed memorizzato su quel server, il che significa che chiunque controlli il server può spostare le monete, secondo la documentazione di BTCPay. In pratica, una release di sicurezza come la 2.4.2 protegge un determinato server solo una volta che il suo operatore la installa.
La versione 2.4.2 risale ad agosto. BTCPay ha rilasciato la 2.4.2 il 7 agosto per correggere una vulnerabilità critica già oggetto di attacchi attivi, come riportato da Cryptopolitan all'epoca. Ogni release precedente, incluse le release candidate della 2.4.2, permetteva a un attaccante non autenticato di rubare le credenziali macaroon di LND, consentendogli di prendere il controllo di un nodo Lightning e spostarne i fondi. Il progetto ha dettagliato la patch nel proprio security advisory. Foundation e Citadel21 hanno segnalato attacchi ai propri nodi Lightning, e Craig Raw, sviluppatore di Sparrow Wallet, ha dichiarato di essere stato colpito anch'egli.
Con la release 2.4.2, i macaroon di LND sono stati rigenerati automaticamente. Gli operatori che avevano esposto LND tramite un proprio proxy, un servizio Tor o una porta inoltro dovevano comunque modificare tali credenziali manualmente. La versione 2.4.2 ha anche corretto un eludeimento separato dell'autenticazione a due fattori TOTP tramite la Basic Authentication della Greenfield API, segnalato il 4 agosto. BTCPay ha dichiarato che quel bug non era correlato all'attacco ai macaroon e che i propri wallet on-chain, inclusi gli hot wallet, non erano stati interessati da quella vulnerabilità.
Né BTCPay né Dorier hanno precisato se l'attaccante di domenica abbia sfruttato il bug dei macaroon di agosto o un'altra vulnerabilità pre-2.4.2. Il bug dei macaroon di agosto era sfruttabile senza alcuna autenticazione; le intrusioni di domenica, al contrario, prevedevano accessi come amministratori. Ad agosto, i sostenitori hanno messo a disposizione un bounty di recupero pari al 10% dei fondi restituiti, fino a 3 BTC, come riportato da Cryptopolitan. Separatamente, River ha riportato che l'utilizzo medio di Bitcoin da parte dei commercianti è cresciuto del 74% nel 2025, con volumi Lightning superiori a 1 miliardo di dollari al mese — il tipo di attività di pagamento da commerciante che software self-hosted come BTCPay è pensato per elaborare.
