BTCPay Server, il software libero e open source che le aziende utilizzano per accettare pagamenti in Bitcoin, ha esortato domenica gli operatori a spegnere le proprie istanze dopo segnalazioni secondo cui attaccanti stavano svuotando gli hot wallet collegati ai server su cui gira la piattaforma.

Il progetto ha poi precisato che l'attacco mirava alle istanze con la versione 2.4.1 o precedenti, e di non aver ricevuto segnalazioni credibili di svuotamenti di hot wallet tra gli utenti dell'ultima versione, la 2.4.7.

L'avviso è stato pubblicato su X alle 17:25 ET del 1° novembre:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

Il comando citato nell'avviso, ./btcpay-down.sh, spegne un'istanza BTCPay in esecuzione. Circa due ore dopo, il fondatore di BTCPay Nicolas Dorier ha dichiarato che le segnalazioni sembravano riguardare versioni precedenti alla 2.4.2, e che l'attaccante aveva effettuato l'accesso ai server interessati con privilegi di amministratore.

Più tardi domenica, il progetto ha dichiarato in un post successivo su X che l'indagine aveva individuato un vettore d'attacco rivolto alle istanze con la versione 2.4.1, rilasciata il 23 luglio, o precedenti. "Non abbiamo segnalazioni credibili di svuotamenti di hot wallet per gli utenti che usano l'ultima versione 2.4.7", ha affermato il progetto, esortando tutti a mantenere il software aggiornato e chiedendo agli utenti coinvolti di inviare dettagli e log al proprio team di sicurezza.

Alcuni provider di hosting, tra cui LunaNode, hanno spento automaticamente le istanze BTCPay per impedire lo sfruttamento delle versioni obsolete, ha dichiarato il progetto. BTCPay non ha reso noto quanti server siano stati coinvolti né quanti Bitcoin siano stati sottratti. L'entità completa dell'incidente resta sconosciuta. L'avviso iniziale del progetto legava la raccomandazione di spegnere le istanze al completamento dell'indagine, quindi gli operatori coinvolti erano in attesa dell'esito della verifica prima di riportare le istanze online.

Hot wallet e aggiornamento d'emergenza di BTCPay

Poiché BTCPay è self-hosted, ogni commerciante esegue il software sul proprio server, e non esiste un operatore centrale in grado di spegnere le istanze sull'intera rete. Questa configurazione distribuita lascia anche l'applicazione delle patch ai singoli operatori, poiché gli aggiornamenti raggiungono la rete solo quando ciascun proprietario di server li applica. I commercianti possono scegliere di utilizzare un hot wallet, che conserva il seed del wallet sul server collegato a Internet in modo da firmare automaticamente le transazioni. Lo sweeping — la manovra descritta nell'avviso del progetto — trasferisce l'intero saldo di un wallet a un indirizzo controllato dall'attaccante. I cold wallet, al contrario, mantengono le chiavi di firma offline e non possono firmare transazioni automaticamente. La stessa documentazione di BTCPay etichetta la funzione hot wallet come "DANGER" e avverte che "comporta implicazioni di sicurezza".

Gli attacchi sono arrivati pochi giorni dopo che BTCPay ha rilasciato giovedì la versione 2.4.7 come aggiornamento d'emergenza che correggeva una vulnerabilità critica e diverse vulnerabilità di gravità media, segnalate al progetto tramite lo scanner di software open source di frontiera di Anthropic. Il progetto non ha precisato se gli attaccanti abbiano sfruttato una di quelle vulnerabilità.

Non è il primo problema di sicurezza dell'anno per il progetto. Ad agosto, BTCPay aveva avvertito che una vulnerabilità critica presente in tutte le versioni precedenti alla 2.4.2 era attivamente sfruttata, chiedendo agli utenti di aggiornare o spegnere i propri server. I sostenitori del progetto hanno in seguito finanziato un bounty di recupero che prometteva il 10% dei fondi sottratti restituiti alle vittime, con un tetto massimo di 3 BTC.