BTCPay Server wydał alarmowe ostrzeżenie dotyczące bezpieczeństwa po zgłoszeniach o tym, że atakujący opróżniają bitcoiny z portfeli gorących hostowanych na jego infrastrukturze płatniczej, wzywając operatorów do wyłączenia serwerów, podczas gdy śledczy starają się ustalić skalę naruszenia.

Alert opublikowany 1 listopada początkowo dotyczył wszystkich instalacji. Późniejsze ustalenia zawęziły podejrzewany wektor ataku do wersji BTCPay Server 2.4.1 i starszych, a projekt informuje, że nie otrzymał żadnych wiarygodnych zgłoszeń kradzieży z portfeli gorących dotyczących najnowszego wydania 2.4.7. Łączna kwota skradzionych środków, liczba dotkniętych sprzedawców oraz dokładna metoda wykorzystana do przejęcia serwerów pozostają nieujawnione.

Opróżnianie portfeli przypisane do przestarzałego oprogramowania

BTCPay Server nakazał operatorom natychmiastowe wyłączenie swoich instancji za pomocą polecenia ./btcpay-down.sh po zgłoszeniach o nieautoryzowanych wypłatach z portfeli połączonych z internetem.

Open source'owy procesor płatności umożliwia sprzedawcom przyjmowanie płatności w Bitcoinie i Lightning Network bez polegania na scentralizowanych depozytariuszach. Jego opcjonalna funkcjonalność portfela gorącego przechowuje jednak poświadczenia podpisujące bezpośrednio na serwerze, co potencjalnie naraża środki, jeśli atakujący uzyskają dostęp administracyjny. Portfele gorące utrzymują klucze online, aby płatności mogły być przetwarzane automatycznie, podczas gdy przechowywanie zimne utrzymuje je offline — to kompromis, który pozostawia samodzielnie depozytujących sprzedawców bez pośrednika między ich kluczami a atakującym.

Założyciel Nicolas Dorier powiedział, że wstępne śledztwo wykazało, iż atakujący zalogowali się do dotkniętych serwerów jako administratorzy, choć metoda uzyskania tego dostępu jest nadal badana. Przejęte instalacje najprawdopodobniej działały na wersjach wydanych przed sierpniem 2026 roku, kiedy BTCPay Server wprowadził wersję 2.4.2 eliminującą kilka słabości bezpieczeństwa.

Zespół następnie zidentyfikował wektor ataku dotyczący wersji 2.4.1 i starszych, zaznaczając jednocześnie, że jego własne publicznie dostępne serwery działające na najnowszym wydaniu nie zostały przejęte. Ponieważ jednak oprogramowanie jest samohostowane, instalowanie poprawek zależy od działania poszczególnych operatorów zgodnie z zaleceniami projektu — żaden centralny dostawca nie może zaktualizować serwerów w imieniu sprzedawców.

Ustalenia pojawiły się kilka dni po tym, jak BTCPay Server wydał wersję 2.4.7 29 października, rozwiązującą 85 ustaleń dotyczących bezpieczeństwa zidentyfikowanych w ramach open source'owego programu skanowania bezpieczeństwa firmy Anthropic. Poprawki obejmowały jedno krytyczne, 13 poważnych, 52 średnie i 19 drobnych problemów dotyczących uwierzytelniania, przetwarzania płatności, dostępu do API i innych komponentów. Wydanie jest dostępne na GitHubie, a projekt przekazał swoje ostrzeżenie za pośrednictwem X.

Chociaż z najnowszym wydaniem nie wiążą się potwierdzone straty z portfeli gorących, śledztwo nie ustaliło jeszcze, która konkretna podatność umożliwiła listopadowe ataki.

Infrastruktura płatnicza Bitcoina pod nasilonym naciskiem bezpieczeństwa

Incydent nastąpił po sierpniowym naruszeniu dotyczącym integracji Lightning Network w BTCPay Server. Atakujący wykorzystali wcześniej podatność pozwalającą na nieautoryzowany dostęp do poświadczeń administracyjnych LND, co potencjalnie umożliwiało im kontrolowanie połączonych węzłów Lightning i przesyłanie środków. Słabość ta została zidentyfikowana podczas szerszego przeglądu bezpieczeństwa Bitcoina i załatana w wersji 2.4.2, a wcześniejszy incydent dotyczył środków połączonych z LND, a nie standardowych portfeli gorących on-chain BTCPay Server.

Obawy dotyczące bezpieczeństwa objęły także inne aplikacje Bitcoina. W sierpniu Core Lightning wzywał operatorów węzłów do rozłączenia, podczas gdy programiści przygotowywali aktualizacje bezpieczeństwa. Niedawno Electrum załatał aktywnie wykorzystywaną podatność portfela po tym, jak atakujący manipulowali danymi transakcji, aby przekierować płatności w Bitcoinie.

BTCPay Server wzywa obecnie dotkniętych operatorów do zgłaszania się z odpowiednimi dziennikami i szczegółami incydentu. Użytkownikom zaleca się aktualizowanie instalacji, minimalizowanie środków przechowywanych w portfelach gorących i w razie potrzeby przeniesienie pozostałych aktywów do bezpiecznego przechowywania zimnego. Niektórzy dostawcy hostingu proaktywnie zawiesili instancje klientów działające na podatnym oprogramowaniu, aby zapobiec dalszym stratom.

Śledztwo trwa, a dotąd nie opublikowano potwierdzonych danych o odzyskanych środkach ani pełnego wyjaśnienia technicznego. Chociaż najnowsze oprogramowanie najwyraźniej nie jest dotknięte zidentyfikowanym wektorem ataku, incydent podkreśla ryzyko związane z przestarzałą samohostowaną infrastrukturą płatniczą, szczególnie gdy klucze prywatne pozostają dostępne na serwerach połączonych z internetem. Uwaga skupia się obecnie na tym, czy projekt opublikuje pełny raport techniczny i ilu dotkniętych sprzedawców zgłosi straty w miarę napływania dzienników.