BTCPay Server riep alle operators zondag op om hun instanties offline te halen, nadat meldingen waren binnengekomen dat ongeautoriseerde partijen toegang hadden gekregen tot hot wallets die verbonden zijn met het Bitcoin-betaalplatform en deze hadden leeggehaald.

In een aankondiging op X verzocht het project elke instantiebeheerder om de server offline te halen met het shutdown-commando en de afsluiting van het onderzoek af te wachten.

“We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers. If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation”, aldus BTCPay Server op X.

Omdat BTCPay Server zelf gehost wordt, ligt de verantwoordelijkheid voor het stilleggen volledig bij de eigenaren van de individuele servers. Het project heeft de oorzaak van het incident, het aantal getroffen servers en het totale gestolen bedrag nog niet bekendgemaakt.

Waarom hot wallets kwetsbaar zijn

Volgens de documentatie van BTCPay Server slaat de hot-walletfunctionaliteit de seed rechtstreeks op de server op voor het ondertekenen van transacties en maakt snelle uitbetalingen mogelijk zonder externe hardware. Die gemaksfunctie heeft hot wallets echter aanzienlijk kwetsbaarder gemaakt dan cold storage.

Hot wallets bewaren privésleutels op systemen die met het internet verbonden zijn, waardoor aanvallers die de onderliggende infrastructuur compromitteren er toegang toe kunnen krijgen. Cold wallets bewaren ondertekeningssleutels daarentegen offline. De afweging is snelheid: hot wallets stellen gemak voorop en laten handelaren transacties sneller verwerken, terwijl cold wallets de voorkeur geven aan beveiliging.

Voor bedrijven die BTCPay Server gebruiken om Bitcoin-betalingen te accepteren, kan een gecompromitteerde hot wallet geld blootstellen dat bedoeld is voor handelaarsafrekeningen of klanttransacties. De waarschuwing roept daarom vragen op over hoe operators het betalingsgemak kunnen afwegen tegen de noodzaak om privésleutels te beschermen tegen ongeautoriseerde toegang.

Samson Mow, CEO van BTC-technologiebedrijf JAN3, reageerde op het incident: “I think it should be a priority to get SamRock working with Indra ASAP so users of BTCPay can receive directly to Aqua Bitcoin and swap to cold regularly.”

Derde beveiligingsincident in korte tijd

De oproep tot stilleggen is het derde beveiligingsincident dat het project in korte tijd treft. Enkele dagen eerder, op 29 oktober, bracht BTCPay Server een noodupdate uit, versie 2.4.7, om deze en andere kwetsbaarheden te verhelpen.

In augustus exploiteerden aanvallers een ander beveiligingslek, wat leidde tot de diefstal van Lightning Network-sleutels en het leeghalen van meerdere bijbehorende nodes, waaronder één van Foundation, een fabrikant van hardware wallets. Destijds verzekerde BTCPay Server gebruikers dat hun standaard on-chain wallets en ingebouwde hot wallets veilig waren voor die aanval. Toch verzocht het project gebruikers hun servers bij te werken naar versie 2.4 of in ieder geval tijdelijk hun instanties stil te leggen totdat dat mogelijk was, om het risico op ongeautoriseerde toegang te verkleinen.

Tot het huidige onderzoek is afgerond wordt operators geadviseerd de serveractiviteit, walletsaldo's en transactiegeschiedenissen te controleren op verdachte bewegingen. Wie vermoedt dat zijn hot wallet gecompromitteerd is, moet mogelijk blootgestelde ondertekeningssleutels niet langer gebruiken. Het incident onderstreept ook waarom back-ups beveiligd moeten worden bewaard en waarom grote Bitcoin-saldi offline gehouden moeten worden in plaats van in wallets die verbonden zijn met betalingsinfrastructuur. Nu de oorzaak, het aantal getroffen servers en het totale gestolen bedrag allemaal nog onbekend zijn, is de afsluiting van het onderzoek van BTCPay Server de ontwikkeling waar handelaren en operators van het platform direct op moeten letten.

Coldcard-exploit veroorzaakte ten minste $116 miljoen aan verliezen

De bredere sector kampt met vergelijkbare problemen. In augustus werd Coldcard, een populaire fabrikant van Bitcoin-only wallets, getroffen door een exploit die tot op heden ten minste $116 miljoen aan bevestigde verliezen heeft veroorzaakt.

Volgens Blockaid-CEO Ido Ben-Natan legde het Coldcard-incident een fundamentele zwakte in crypto bloot: de afhankelijkheid van privésleutels die een single point of failure kunnen worden.

“It's a single-use kind of access to these things. Now there's beauty in that no one else can go in and have access to these things. The hardship in that is that it is a single point of failure”, aldus Ben-Natan.

Hij voegde toe: “The learning here is that having your assets sit somewhere and forgetting about them and not thinking about them is not actually the solution because the pace of security is evolving. You have to either kind of constantly be paranoid or either outsource that decision-making process to someone else.”

De exploit kwam voort uit een ernstige bug in de firmware die het mogelijk maakte de wallet-seedingprocedure op Coldcard-apparaten te corrupteren. Het gebrek verwijderde de randomiserende factor die nodig is om veilige wallets te creëren, waardoor aanvallers de privésleutels konden berekenen en de wallets van hun Bitcoin konden ledigen. Meer dan 7.000 adressen zijn getroffen, volgens onderzoeksbureau K33.

Het patroon geldt de hele sector: gemiddeld hangt bijna driekwart van het geld dat in de eerste helft van 2026 bij crypto-exploits is gestolen samen met gecompromitteerde privésleutels.