BTCPay Server heeft een noodwaarschuwing voor de beveiliging uitgegeven nadat meldingen binnenkwamen dat aanvallers Bitcoin aan het weghalen waren uit hot wallets die worden gehost op zijn betalingsinfrastructuur. Het project dringt er bij beheerders op aan hun servers uit te schakelen terwijl onderzoekers de omvang van de inbreuk proberen te bepalen.

De waarschuwing, gepubliceerd op 1 november, gold aanvankelijk voor alle installaties. Latere bevindingen hebben de vermoedelijke aanvalsvector beperkt tot BTCPay Server-versies 2.4.1 en ouder, en het project zegt geen geloofwaardige meldingen te hebben ontvangen van diefstallen uit hot wallets bij de nieuwste versie 2.4.7. Het totale gestolen bedrag, het aantal getroffen handelaren en de exacte methode waarmee de servers zijn gecompromitteerd, blijven onbekend.

Legen van wallets herleid tot verouderde software

BTCPay Server verzocht beheerders hun instances onmiddellijk offline te halen met het commando ./btcpay-down.sh nadat meldingen waren binnengekomen over ongeautoriseerde opnames uit met internet verbonden wallets.

Met de open-source betalingsverwerker kunnen handelaren Bitcoin- en Lightning Network-betalingen accepteren zonder afhankelijk te zijn van gecentraliseerde custodians. De optionele hot wallet-functionaliteit slaat ondertekende referenties echter op de server zelf op, waardoor fondsen mogelijk blootstaan als aanvallers beheerdersrechten verkrijgen. Hot wallets houden die sleutels online zodat betalingen automatisch kunnen worden verwerkt, terwijl cold storage ze offline houdt — een afweging die zelfcustodiale handelaren zonder tussenpersoon laat tussen hun sleutels en een aanvaller.

Oprichter Nicolas Dorier zei dat uit voorlopig onderzoek bleek dat aanvallers zich met succes als beheerder hebben aangemeld op getroffen servers, hoewel de methode waarmee ze die toegang kregen nog wordt onderzocht. De gecompromitteerde installaties leken versies te draaien die vóór augustus 2026 waren uitgebracht, toen BTCPay Server versie 2.4.2 introduceerde om verschillende beveiligingszwakten te verhelpen.

Het team identificeerde vervolgens een aanvalsvector die versies 2.4.1 en ouder treft, waarbij werd opgemerkt dat de eigen publiek toegankelijke servers met de nieuwste release niet waren gecompromitteerd. Omdat de software zelfgehost is, hangt patchen echter af van individuele beheerders die actie ondernemen op de adviezen van het project — geen enkele centrale aanbieder kan de servers namens de handelaren bijwerken.

De bevindingen kwamen enkele dagen nadat BTCPay Server op 29 oktober versie 2.4.7 uitbracht, waarin 85 beveiligingsbevindingen werden verholpen die waren geïdentificeerd via Anthropic's open-source beveiligingsscanprogramma. Die fixes omvatten één kritiek, 13 hoge, 52 gemiddelde en 19 lage ernst-issues, variërend van authenticatie en betalingsverwerking tot API-toegang en andere componenten. De release is beschikbaar op GitHub, en het project deelde zijn waarschuwing via X.

Hoewel er bij de nieuwste release geen bevestigde verliezen uit hot wallets bekend zijn, heeft het onderzoek nog niet vastgesteld welke specifieke kwetsbaarheid de aanvallen in november mogelijk maakte.

Bitcoin-betalingsinfrastructuur staat opnieuw onder beveiligingsdruk

Het incident volgt op een inbreuk in augustus met betrekking tot de Lightning Network-integratie van BTCPay Server. Aanvallers misbruikten eerder een kwetsbaarheid die ongeautoriseerde toegang tot LND-beheerdersreferenties mogelijk maakte, waarmee ze mogelijk verbonden Lightning-nodes konden controleren en fondsen konden overmaken. Die zwakte werd geïdentificeerd tijdens een bredere Bitcoin-beveiligingsreview en verholpen in versie 2.4.2; het eerdere incident trof fondsen via LND in plaats van de standaard on-chain hot wallets van BTCPay Server.

De beveiligingszorgen strekken zich ook uit tot andere Bitcoin-applicaties. In augustus verzocht Core Lightning node-beheerders de verbinding te verbreken terwijl ontwikkelaars beveiligingsupdates voorbereidden. Meer recentelijk verholpen Electrum een actief misbruikte wallet-kwetsbaarheid nadat aanvallers transactiegegevens hadden gemanipuleerd om Bitcoin-betalingen om te leiden.

BTCPay Server roept getroffen beheerders nu op om met relevante logs en incidentdetails te komen. Gebruikers wordt geadviseerd installaties up-to-date te houden, het saldo in hot wallets te minimaliseren en waar nodig overgebleven activa over te brengen naar beveiligde cold storage. Sommige hostingproviders hebben proactief klantinstances met kwetsbare software opgeschort om verdere verliezen te voorkomen.

Het onderzoek loopt nog, en er zijn tot nu toe geen bevestigde terugvorderingsbedragen of een volledige technische uitleg gepubliceerd. Hoewel de nieuwste software ogenschijnlijk niet wordt getroffen door de geïdentificeerde aanvalsvector, onderstreept het incident de risico's van verouderde, zelfgehoste betalingsinfrastructuur, vooral wanneer privésleutels toegankelijk blijven op met internet verbonden servers. De aandacht richt zich nu op of het project een volledige technische post-mortem publiceert en hoeveel getroffen handelaren verliezen melden zodra de logs binnenkomen.