BTCPay Server, darmowe oprogramowanie open-source używane przez firmy do przyjmowania płatności w Bitcoinie, wezwało w niedzielę operatorów do wyłączenia swoich instancji po zgłoszeniach, że atakujący opróżniają gorące portfele podłączone do serwerów działających na tej platformie.

Projekt poinformował później, że atak wymierzony był w instancje z wersją 2.4.1 lub starszą oraz że nie odnotowano wiarygodnych przypadków opróżnienia gorących portfeli wśród użytkowników najnowszego wydania, wersji 2.4.7.

Ostrzeżenie opublikowano na X o 17:25 czasu wschodnioamerykańskiego (ET) 1 listopada:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) 1 listopada 2026

Polecenie wskazane w alercie, ./btcpay-down.sh, wyłącza działającą instancję BTCPay. Około dwie godziny później założyciel BTCPay Nicolas Dorier stwierdził, że zgłoszenia najwyraźniej dotyczyły wydań starszych niż wersja 2.4.2 oraz że atakujący zalogował się do dotkniętych serwerów z uprawnieniami administratora.

Później w niedzielę projekt poinformował w kolejnym wpisie na X, że śledztwo zidentyfikowało wektor ataku wymierzony w instancje z wersją 2.4.1, wydaną 23 lipca, lub starszą. „We have no credible reports of hot wallet drains for users running the latest 2.4.7 release," podał projekt, wzywając wszystkich do aktualizacji oprogramowania i prosząc poszkodowanych użytkowników o przesłanie szczegółów oraz logów do zespołu bezpieczeństwa.

Niektórzy dostawcy hostingu, w tym LunaNode, automatycznie wyłączyli instancje BTCPay, aby uniemożliwić wykorzystanie starszych wersji — poinformował projekt. BTCPay nie ujawnił, ile serwerów ucierpiało ani ile Bitcoina skradziono. Pełna skala incydentu pozostaje niejasna. Pierwotny alert projektu uzależniał zalecenie wyłączenia od zakończenia śledztwa, więc dotknięci operatorzy czekali na wyniki analizy przed ponownym uruchomieniem instancji.

Gorące portfele i awaryjna aktualizacja BTCPay

Ponieważ BTCPay jest self-hosted, każdy merchant uruchamia oprogramowanie na własnym serwerze i nie istnieje centralny operator mogący wyłączyć instancje w całej sieci. Taka rozproszona architektura oznacza także, że instalowanie poprawek zależy od poszczególnych operatorów, ponieważ aktualizacje trafiają do sieci dopiero wtedy, gdy każdy właściciel serwera je zastosuje. Merchantzy mogą uruchomić gorący portfel, który przechowuje seed portfela na serwerze podłączonym do internetu, dzięki czemu może on automatycznie podpisywać transakcje. Sweeping — manewr opisany w alercie projektu — przenosi całe saldo portfela na adres kontrolowany przez atakującego. Portfele zimne w przeciwieństwie do nich przechowują klucze podpisujące offline i nie mogą podpisywać transakcji automatycznie. Własna dokumentacja BTCPay oznacza funkcję gorącego portfela jako „DANGER" i ostrzega, że „wiąże się z konsekwencjami bezpieczeństwa".

Ataki nastąpiły kilka dni po tym, jak BTCPay wydał w czwartek wersję 2.4.7 jako awaryjną aktualizację usuwającą jedną krytyczną i kilka średnich luk, o których — jak podał projekt — powiadomił go skaner oprogramowania open-source frontier firmy Anthropic. Projekt nie powiedział, czy atakujący wykorzystali którąś z tych luk.

To nie pierwszy niepokojący incydent bezpieczeństwa projektu w tym roku. W sierpniu BTCPay ostrzegł, że krytyczna luka w wszystkich wersjach przed 2.4.2 jest aktywnie wykorzystywana, i nakazał użytkownikom aktualizację lub wyłączenie serwerów. Zwolennicy projektu sfinansowali później nagrodę za odzyskiwanie środków w wysokości 10% zwróconych ofiarom skradzionych funduszy, z limitem wypłaty do 3 BTC.