BTCPay Server wezwał w niedzielę wszystkich operatorów do przejścia w tryb offline po doniesieniach, że nieuprawnione osoby uzyskały dostęp do gorących portfeli powiązanych z platformą płatności Bitcoin i opróżniły je.

W oświadczeniu na X projekt poprosił każdego administratora instancji o wyłączenie serwera za pomocą polecenia shutdown i oczekiwanie na zakończenie śledztwa.

„Otrzymujemy raporty o tym, że gorące portfele na serwerach BTCPay są opróżniane przez nieuprawnionych atakujących. Jeśli uruchamiasz instancję, wyłącz ją (./btcpay-down.sh), aż zakończymy śledztwo” – podał BTCPay Server na X.

Ponieważ BTCPay Server jest samo-hostowany, odpowiedzialność za wyłączenie spoczywa w całości na właścicielach poszczególnych serwerów. Projekt nie ujawnił jeszcze przyczyny incydentu, liczby dotkniętych serwerów ani łącznej kwoty skradzionych środków.

Dlaczego gorące portfele są narażone

Zgodnie z dokumentacją BTCPay Server funkcjonalność gorącego portfela przechowuje seed bezpośrednio na serwerze w celu podpisywania transakcji i umożliwia szybkie wypłaty bez korzystania z zewnętrznego sprzętu. Ta wygoda sprawiła jednak, że gorące portfele są znacznie bardziej podatne na ataki niż przechowywanie zimne.

Gorące portfele przechowują klucze prywatne w systemach podłączonych do internetu, więc atakujący, którzy przejmą infrastrukturę, mogą uzyskać do nich dostęp. Portfele zimne w przeciwieństwie do nich przechowują klucze podpisujące offline. Kompromisem jest szybkość: gorące portfele stawiają na wygodę i pozwalają sprzedawcom szybciej przetwarzać transakcje, podczas gdy zimne stawiają na bezpieczeństwo.

Dla firm korzystających z BTCPay Server do przyjmowania płatności Bitcoin skompromitowany gorący portfel może narazić środki przeznaczone na rozliczenia ze sprzedawcami lub transakcje klientów. Ostrzeżenie rodzi więc pytania, jak operatorzy mogą pogodzić wygodę płatności z koniecznością ochrony kluczy prywatnych przed nieuprawnionym dostępem.

Samson Mow, dyrektor generalny firmy technologicznej BTC JAN3, skomentował incydent: „Uważam, że priorytetem powinno być jak najszybsze uruchomienie współpracy SamRock z Indra, aby użytkownicy BTCPay mogli otrzymywać środki bezpośrednio do Aqua Bitcoin i regularnie zamieniać je na zimne przechowywanie”.

Trzeci incydent bezpieczeństwa w ostatnich miesiącach

Wezwanie do wyłączenia to trzeci incydent bezpieczeństwa, który uderzył w projekt w krótkim odstępie czasu. Zaledwie kilka dni wcześniej, 29 października, BTCPay Server wydał awaryjną aktualizację w wersji 2.4.7, mającą zaradzić tej luce i innym.

W sierpniu atakujący wykorzystali inną lukę bezpieczeństwa, co doprowadziło do kradzieży kluczy Lightning Network i opróżnienia wielu powiązanych węzłów, w tym jednego należącego do Foundation, producenta portfeli sprzętowych. Wtedy BTCPay Server zapewnił użytkowników, że ich standardowe portfele on-chain i wbudowane gorące portfele są bezpieczne przed tym atakiem. Mimo to poprosił użytkowników o aktualizację serwerów do wersji 2.4 lub, przynajmniej tymczasowo, wyłączenie instancji, dopóki tego nie zrobią, co zmniejszyło ryzyko nieuprawnionego dostępu.

Do zakończenia bieżącego śledztwa operatorom zaleca się sprawdzenie aktywności serwera, sald portfeli oraz historii transakcji pod kątem podejrzanych ruchów. Osoby podejrzewające, że ich gorące portfele zostały skompromitowane, nie powinny nadal korzystać z potencjalnie narażonych kluczy podpisujących. Incydent pokazuje też, dlaczego kopie zapasowe muszą być bezpiecznie przechowywane, a duże salda Bitcoin trzymać offline, a nie w portfelach połączonych z infrastrukturą płatniczą. Ponieważ przyczyna źródłowa, liczba dotkniętych serwerów i łączna kwota skradzionych środków pozostają nieujawnione, zakończenie śledztwa prowadzonego przez BTCPay Server to najbliższe wydarzenie, na które powinni czekać sprzedawcy i operatorzy platformy.

Eksploatacja Coldcard spowodowała straty co najmniej 116 milionów dolarów

Cała branża boryka się z podobnymi problemami. W sierpniu Coldcard, popularny producent portfeli wyłącznie dla Bitcoin, również padł ofiarą eksploitacji, która doprowadziła do potwierdzonych strat co najmniej 116 milionów dolarów do tej pory.

Według dyrektora generalnego Blockaid, Ido Ben-Natana, incydent z Coldcard ujawnił fundamentalną słabość kryptowalut: poleganie na kluczach prywatnych, które mogą stać się pojedynczym punktem awarii.

„To dostęp jednorazowego użytku do tych rzeczy. Piękno polega na tym, że nikt inny nie może wejść i uzyskać do nich dostępu. Trudność polega na tym, że jest to pojedynczy punkt awarii” – powiedział Ben-Natan.

Dodał: „Wniosek jest taki, że pozostawienie aktywów gdzieś i zapomnienie o nich, brak zastanawiania się nad nimi, w rzeczywistości nie jest rozwiązaniem, ponieważ tempo rozwoju bezpieczeństwa ewoluuje. Trzeba albo stale być paranoicznym, albo zlecić ten proces decyzyjny komuś innemu”.

Eksploitacja wywodziła się z poważnego błędu w oprogramowaniu układowym, który umożliwiał uszkodzenie procedury inicjalizacji portfela na urządzeniach Coldcard. Wada ta usuwała czynnik losowości potrzebny do tworzenia bezpiecznych portfeli, dzięki czemu atakujący mogli obliczyć klucze prywatne i opróżnić te portfele z Bitcoin. Według firmy badawczej K33 dotkniętych było ponad 7 000 adresów.

To zjawisko dotyczy całej branży: średnio prawie trzy czwarte pieniędzy skradzionych w wyniku eksploitacji kryptowalut w pierwszej połowie 2026 roku było związanych z naruszeniami kluczy prywatnych.