BTCPay Server экстренно предупредил об угрозе безопасности после сообщений о том, что злоумышленники выводят биткоины из хоткошельков, размещённых на его платёжной инфраструктуре, и призвал операторов отключить свои серверы, пока расследователи определяют масштаб компрометации.

Предупреждение, опубликованное 1 ноября, первоначально касалось всех установок. Последующие выводы сузили предполагаемый вектор атаки до версий BTCPay Server 2.4.1 и более ранних, и проект заявляет, что не получил достоверных сообщений о кражах из хоткошельков, связанных с последним релизом 2.4.7. Общая сумма похищенного, число пострадавших продавцов и точный способ компрометации серверов остаются нераскрытыми.

Дренаж кошельков связан с устаревшим ПО

BTCPay Server велел операторам немедленно отключить свои инстансы командой ./btcpay-down.sh после появления сообщений о несанкционированных выводах средств из подключённых к интернету кошельков.

Процессор открытого кода позволяет продавцам принимать платежи в биткоинах и через Lightning Network без reliance на централизованных кастодианов. Однако его опциональная функция хоткошелька хранит учётные данные для подписи на самом сервере, что потенциально подвергает средства риску, если злоумышленники получат административный доступ. Хоткошельки держат ключи в сети, чтобы платежи обрабатывались автоматически, тогда как холодное хранение держит их офлайн — компромисс, при котором у продавцов, самостоятельно хранящих средства, между их ключами и злоумышленником нет посредника.

Основатель Николя Дорье сообщил, что предварительное расследование показало: злоумышленники успешно входили на затронутые серверы как администраторы, хотя способ получения этого доступа всё ещё изучается. Компрометированные установки, по всей видимости, работали на версиях, выпущенных до августа 2026 года, когда BTCPay Server представил версию 2.4.2 для устранения ряда уязвимостей безопасности.

Затем команда выявила вектор атаки, затрагивающий версии 2.4.1 и старше, отметив при этом, что её собственные публично доступные серверы на последнем релизе не были скомпрометированы. Однако, поскольку ПО является самостоятельно размещаемым, установка обновлений зависит от действий отдельных операторов, реагирующих на рекомендации проекта, — центральный провайдер не может обновить серверы от имени продавцов.

Эти выводы появились через несколько дней после того, как 29 октября BTCPay Server выпустил версию 2.4.7, устранив 85 находок в области безопасности, выявленных в рамках программы сканирования открытого кода Anthropic. Исправления охватывали одну критическую, 13 высоких, 52 средние и 19 низких степеней тяжести в областях аутентификации, обработки платежей, доступа к API и других компонентов. Релиз доступен на GitHub, а проект распространил предупреждение через X.

Хотя с последним релизом не связано подтверждённых потерь из хоткошельков, расследование ещё не установило, какая именно уязвимость позволила совершить ноябрьские атаки.

Платёжная инфраструктура биткоина под новым давлением в сфере безопасности

Инцидент последовал за августовским взломом, связанным с интеграцией Lightning Network в BTCPay Server. Ранее злоумышленники использовали уязвимость, позволявшую несанкционированный доступ к административным учётным данным LND, что потенциально давало возможность контролировать подключённые узлы Lightning и переводить средства. Эта слабость была выявлена в ходе более широкого обзора безопасности биткоина и исправлена в версии 2.4.2; при этом предыдущий инцидент затронул средства, подключённые к LND, а не стандартные ончейн-хоткошельки BTCPay Server.

Опасения по поводу безопасности распространились и на другие биткоин-приложения. В августе Core Lightning призвал операторов узлов отключиться, пока разработчики готовили обновления безопасности. Совсем недавно Electrum исправил активно эксплуатируемую уязвимость кошелька после того, как злоумышленники манипулировали данными транзакций, чтобы перенаправлять биткоин-платежи.

BTCPay Server теперь призывает затронутых операторов обратиться с соответствующими логами и деталями инцидента. Пользователям рекомендуется поддерживать установки в актуальном состоянии, минимизировать средства в хоткошельках и при необходимости переводить оставшиеся активы в надёжное холодное хранение. Некоторые хостинг-провайдеры превентивно приостановили клиентские инстансы с уязвимым ПО, чтобы предотвратить дальнейшие потери.

Расследование продолжается; подтверждённых данных о возврате средств и полного технического объяснения пока не опубликовано. Хотя последнее ПО, судя по всему, не затронуто выявленным вектором атаки, инцидент подчёркивает риски устаревшей самостоятельно размещаемой платёжной инфраструктуры, особенно когда приватные ключи остаются доступными на серверах, подключённых к интернету. Теперь внимание приковано к тому, опубликует ли проект полный технический разбор и сколько пострадавших продавцов сообщат о потерях по мере поступления логов.