Opróżnienia hot walletów zgłoszone w niedzielę najwyraźniej dotyczyły instancji BTCPay Server działających na wydaniach starszych niż wersja 2.4.2 — powiedział Nicolas Dorier, założyciel BTCPay Server. W tych przypadkach napastnik zalogował się jako administrator, a zespół poinformował, że wciąż ustala, jak uzyskano ten dostęp.

Śledztwo wskazuje na wersję 2.4.1 lub wcześniejszą

BTCPay wydało alert o 17:25 czasu ET w niedzielę, opublikowany na X, wzywając każdego, kto uruchamia instancję, do jej wyłączenia za pomocą ./btcpay-down.sh do zakończenia śledztwa. Dorier nawiązał do tego około dwie godziny później, zauważając, że własne publiczne serwery BTCPay działające w wersji 2.4.7 nie zostały zaatakowane. Później powiedział, że zespół miał ślady wskazujące, że „wykorzystano luki sprzed 2.4.2”.

Aktualizacja opublikowana przez BTCPay o 23:07 czasu ET (tutaj i tutaj) zawęziła cel: śledczy zidentyfikowali wektor ataku wymierzony w instancje działające na wersji 2.4.1, wydanej 23 lipca, lub wcześniejszych.

Projekt odnotował „brak wiarygodnych zgłoszeń opróżnień hot walletów” od użytkowników wersji 2.4.7, która została wydana 29 października. Doradził operatorom, aby utrzymywali oprogramowanie aktualne, i poprosił poszkodowanych o przesłanie szczegółów oraz logów do zespołu ds. bezpieczeństwa.

Niektórzy dostawcy hostingu mogli automatycznie wyłączyć instancje, aby zapobiec wykorzystaniu starszych wersji. BTCPay podziękowało LunaNode i innym za szybką reakcję. Dorier powiedział, że operatorzy, którzy zaktualizowali przynajmniej raz od wydania 2.4.2, mają „brak powodu do paniki”, ostrzegając jednocześnie użytkowników, aby nie trzymali zbyt wielu środków w hot walletu, i zapowiadając blog z większą liczbą szczegółów.

Niedzielne opróżnienia sięgnęły środków, które sierpniowe ostrzeżenie uznawało za bezpieczne

Ponieważ BTCPay jest samodzielnie hostowane, projekt nie może zmodyfikować ani wyłączyć serwera handlowca. Tryb hot walletu podpisuje płatności seedem przechowywanym na tym serwerze, co oznacza, że ktoever kontroluje serwer, może przenieść monety — zgodnie z dokumentacją BTCPay. W praktyce wydanie bezpieczeństwa, takie jak 2.4.2, chroni dany serwer dopiero po jego zainstalowaniu przez operatora.

Wersja 2.4.2 pochodzi z sierpnia. BTCPay wydało 2.4.2 7 sierpnia, aby załatać krytyczną lukę, która była już aktywnie wykorzystywana, jak wówczas donosił Cryptopolitan. Każde wcześniejsze wydanie, w tym kandydaci wydawniczy 2.4.2, pozwalało nieuwierzytelnionemu napastnikowi na kradzież poświadczeń macaroon LND, umożliwiając przejęcie węzła Lightning i przeniesienie jego środków. Projekt szczegółowo opisał łatę w swoim ostrzeżeniu bezpieczeństwa. Foundation i Citadel21 zgłosiły ataki na swoje węzły Lightning, a Craig Raw, deweloper Sparrow Wallet, powiedział, że również został trafiony.

Wraz z wydaniem 2.4.2 macaroon LND zostały automatycznie wygenerowane ponownie. Operatorzy, którzy udostępnili LND przez własny serwer proxy, usługę Tor lub przekierowany port, nadal musieli ręcznie zmienić te poświadczenia. Wersja 2.4.2 załatała również odrębne obejście dwuskładnikowego uwierzytelniania TOTP przez Basic Authentication API Greenfield, zgłoszone 4 sierpnia. BTCPay powiedziało, że ta luka nie była związana z atakiem na macaroon i że własne portfele on-chain projektu, w tym hot wallety, nie zostały nią dotknięte.

Ani BTCPay, ani Dorier nie powiedzieli, czy niedzielny napastnik wykorzystał sierpniową lukę macaroon, czy inną lukę sprzed 2.4.2. Sierpniowa luka macaroon była podatna na wykorzystanie bez żadnego uwierzytelnienia; niedzielne włamania natomiast wiązały się z logowaniami administratora. W sierpniu wspierający wyłożyli nagrodę za odzyskanie środków w wysokości 10% zwróconych funduszy, do 3 BTC, jak donosił Cryptopolitan. Osobno River poinformował, że przeciętne wykorzystanie Bitcoina przez handlowców wzrosło w 2025 roku o 74%, a wolumen Lightning przekroczył miliard dolarów miesięcznie — rodzaj aktywności płatniczej handlowców, do obsługi której stworzone jest samodzielnie hostowane oprogramowanie takie jak BTCPay.