BTCPay Server в воскресенье призвал всех операторов отключить свои инстансы после сообщений о том, что неавторизованные лица получили доступ к горячим кошелькам, подключённым к платёжной платформе Bitcoin, и опустошили их.

В объявлении в X проект попросил всех администраторов инстансов отключить серверы с помощью команды отключения и дождаться завершения расследования.

«Мы получаем сообщения о том, что горячие кошельки на BTCPay Server опустошаются неавторизованными злоумышленниками. Если вы управляете инстансом, пожалуйста, отключите его (./btcpay-down.sh), пока мы не завершим расследование», — сообщил BTCPay Server в X.

Поскольку BTCPay Server работает в режиме самостоятельного хостинга, ответственность за отключение целиком лежит на владельцах отдельных серверов. Проект пока не раскрыл причину инцидента, число затронутых серверов и общую сумму похищенного.

Почему горячие кошельки уязвимы

Согласно документации BTCPay Server, функция горячего кошелька хранит сид напрямую на сервере для подписания транзакций и позволяет быстро выполнять выплаты без внешнего оборудования. Однако именно это удобство делает горячие кошельки значительно более уязвимыми, чем холодное хранение.

Горячие кошельки хранят приватные ключи на системах с подключением к интернету, поэтому злоумышленники, скомпрометировавшие базовую инфраструктуру, могут получить к ним доступ. Холодные кошельки, напротив, хранят ключи подписания офлайн. Компромисс — скорость: горячие кошельки ставят во главу угла удобство и позволяют торговцам быстрее обрабатывать транзакции, тогда как холодные делают ставку на безопасность.

Для компаний, принимающих платежи в Bitcoin через BTCPay Server, скомпрометированный горячий кошелёк может привести к утечке средств, предназначенных для расчётов с торговцами или транзакций клиентов. Поэтому предупреждение ставит вопрос о том, как операторам балансировать между удобством платежей и необходимостью защиты приватных ключей от несанкционированного доступа.

Сэмсон Моу, генеральный директор BTC-технологической компании JAN3, прокомментировал инцидент: «Я считаю, что приоритетом должно быть как можно скорее наладить сотрудничество SamRock с Indra, чтобы пользователи BTCPay могли получать средства напрямую в Aqua Bitcoin и регулярно переводить их в холодное хранение».

Третий инцидент безопасности за последние месяцы

Призыв к отключению — это третий инцидент безопасности, поразивший проект за короткое время. Всего несколько дней назад, 29 октября, BTCPay Server выпустил экстренное обновление версии 2.4.7 для устранения этой уязвимости и других.

В августе злоумышленники воспользовались другой уязвимостью, что привело к краже ключей Lightning Network и опустошению нескольких связанных узлов, включая один, принадлежащий Foundation, производителю аппаратных кошельков. Тогда BTCPay Server заверил пользователей, что их стандартные ончейн-кошельки и встроенные горячие кошельки защищены от той атаки. Тем не менее проект попросил пользователей обновить серверы до версии 2.4 или, как минимум временно, отключить инстансы, пока это не будет сделано, снижая риск несанкционированного доступа.

До завершения текущего расследования операторам рекомендуется проверить активность серверов, балансы кошельков и историю транзакций на предмет подозрительных движений. Те, кто подозревает компрометацию своих горячих кошельков, не должны продолжать использовать потенциально раскрытые ключи подписания. Инцидент также подчёркивает, почему резервные копии должны храниться в безопасности и почему крупные балансы Bitcoin следует держать офлайн, а не в кошельках, подключённых к платёжной инфраструктуре. Поскольку причина, число затронутых серверов и сумма похищенного остаются неизвестными, завершение расследования BTCPay Server — ключевое событие, за которым следят торговцы и операторы платформы.

Эксплойт против Coldcard привёл к потерям не менее 116 млн долларов

Вся отрасль столкнулась с похожими проблемами. В августе на Coldcard, популярного производителя кошельков только для Bitcoin, была совершена атака через эксплойт, которая к настоящему времени привела к подтверждённым потерям не менее 116 млн долларов.

По словам генерального директора Blockaid Идо Бен-Натана, инцидент с Coldcard выявил фундаментальную слабость криптовалют: зависимость от приватных ключей, которые могут стать единой точкой отказа.

«Это доступ одноразового типа к подобным вещам. Красота в том, что никто другой не может проникнуть и получить доступ к этим вещам. Трудность в том, что это единая точка отказа», — сказал Бен-Натан.

Он добавил: «Урок здесь в том, что хранить активы где-то, забывая о них и не думая о них, — на самом деле не решение, потому что темпы развития безопасности постоянно растут. Нужно либо постоянно быть параноиком, либо передать этот процесс принятия решений кому-то другому».

Причиной эксплойта стал серьёзный баг в прошивке, который позволял повредить процедуру инициализации кошелька на устройствах Coldcard. Из-за этого уязвимость устраняла фактор рандомизации, необходимый для создания защищённых кошельков, что позволило злоумышленникам вычислить приватные ключи и опустошить кошельки от Bitcoin. По данным исследовательской фирмы K33, затронуто более 7 000 адресов.

Эта тенденция характерна для всей отрасли: в среднем почти три четверти средств, похищенных в результате криптоэксплойтов в первом полугодии 2026 года, связаны с компрометацией приватных ключей.