BTCPay Server, de gratis en open-source software die bedrijven gebruiken om Bitcoin-betalingen te accepteren, riep beheerders zondag op hun instanties uit te schakelen nadat meldingen binnenkwamen dat aanvallers hot wallets aan het legen waren die verbonden waren aan servers waarop het platform draait.

Het project meldde later dat de aanval gericht was op instanties met versie 2.4.1 of ouder, en dat er geen geloofwaardige meldingen waren van gelegeerde hot wallets onder gebruikers van de nieuwste versie, 2.4.7.

De waarschuwing werd op 1 november om 23:25 uur CET geplaatst op X:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

Het commando uit de waarschuwing, ./btcpay-down.sh, schakelt een draaiende BTCPay-instantie uit. Ongeveer twee uur later zei BTCPay-oprichter Nicolas Dorier dat de meldingen leken te gaan over versies ouder dan 2.4.2, en dat de aanvaller met beheerdersrechten was ingelogd op getroffen servers.

Later op zondag meldde het project in een vervolgpost op X dat het onderzoek een aanvalsvector had geïdentificeerd die gericht was op instanties met versie 2.4.1, uitgebracht op 23 juli, of ouder. "We have no credible reports of hot wallet drains for users running the latest 2.4.7 release," aldus het project, dat iedereen opriep de software up-to-date te houden en getroffen gebruikers vroeg details en logbestanden naar het securityteam te sturen.

Sommige hostingproviders, waaronder LunaNode, hebben BTCPay-instanties automatisch uitgeschakeld om te voorkomen dat oudere versies worden misbruikt, aldus het project. BTCPay heeft niet bekendgemaakt hoeveel servers getroffen zijn of hoeveel Bitcoin is gestolen. De volledige omvang van het incident blijft onduidelijk. De eerste waarschuwing van het project koppelde het advies om te stoppen aan de afronding van het onderzoek, waardoor getroffen beheerders wachtten op de uitkomst voordat ze hun instanties weer online brachten.

Hot wallets en de noodupdate van BTCPay

Omdat BTCPay self-hosted is, draait elke handelaar de software op zijn eigen server, en er is geen centrale beheerder die instanties in het hele netwerk kan uitschakelen. Die gedistribueerde opzet laat ook het patchen over aan individuele beheerders, omdat updates het netwerk pas bereiken zodra elke servereigenaar ze toepast. Handelaren kunnen ervoor kiezen een hot wallet te gebruiken, waarbij de seed van de wallet op de met internet verbonden server wordt opgeslagen zodat transacties automatisch kunnen worden ondertekend. Sweeping — de manoeuvre uit de waarschuwing van het project — brengt het volledige saldo van een wallet over naar een adres dat de aanvaller beheert. Cold wallets daarentegen bewaren ondertekeningssleutels offline en kunnen geen transacties automatisch ondertekenen. De eigen documentatie van BTCPay noemt de hot wallet-functie "DANGER" en waarschuwt dat deze "comes with security implications."

De aanvallen kwamen enkele dagen nadat BTCPay donderdag versie 2.4.7 uitbracht als noodupdate die één kritiek en meerdere gemiddeld ernstige kwetsbaarheden verhelde, waarvan het project zei dat deze via de frontier open-source softwarescanner van Anthropic onder de aandacht waren gekomen. Het project heeft niet gezegd of de aanvallers een van die kwetsbaarheden hebben misbruikt.

Het is niet het eerste veiligheidsincident voor het project dit jaar. In augustus waarschuwde BTCPay dat een kritieke kwetsbaarheid in alle versies vóór 2.4.2 actief werd misbruikt, en riep gebruikers op te updaten of hun servers uit te schakelen. Supporters van het project financierden later een recovery bounty die 10% beloofde van alle gestolen gelden die aan slachtoffers werden teruggegeven, met een uitkering gemaximeerd op 3 BTC.